운영 권한은 검증된 image digest 뒤에서만 연다

CI는 코드를 증명하고 CD는 같은 아티팩트에 제한된 권한을 부여한다. 배포 후 health 신호까지 통과해야 릴리스가 끝난다.

01

VERIFY

코드 통과npm ci · lint · testnpm run build → dist/
02

PACKAGE

build onceimage@sha256:…
03

AUTHORIZE

productionenvironment + review

승인 뒤 secrets·OIDC를 연다.

04

DEPLOY

exact artifactpull by digestnode dist/main.js

새 instance health 확인.

05

DECIDE

runtime signalhealthy → 유지fail → previous digest
TRUST BOUNDARYPR job은 production 비밀 없이 검증한다. 배포 job만 최소 permissions와 보호된 environment를 사용한다.
CODEtest·build log
ARTIFACTcommit SHA → immutable digest
RUNTIMEhealth·log·SLO → 유지/롤백