Split View: DevOps 골든패스 2026: GitHub Actions와 배포 안전장치 설계

.github-workflows/               # 조직 공용 저장소
├── .github/
│   └── workflows/
│       ├── golden-ci.yml         # CI 골든패스
│       ├── golden-cd.yml         # CD 골든패스
│       ├── golden-security.yml   # 보안 스캔
│       └── golden-release.yml    # 릴리스 자동화
├── actions/
│   ├── setup-node/
│   │   └── action.yml
│   ├── docker-build/
│   │   └── action.yml
│   └── deploy-k8s/
│       └── action.yml
└── CHANGELOG.md                  # 버전별 변경 이력

# .github/workflows/golden-ci.yml
name: Golden Path CI
on:
  workflow_call:
    inputs:
      node-version:
        description: 'Node.js 버전'
        type: string
        default: '22'
      enable-sonar:
        description: 'SonarQube 분석 활성화'
        type: boolean
        default: true
      docker-registry:
        description: '컨테이너 레지스트리'
        type: string
        default: 'ghcr.io'
    secrets:
      SONAR_TOKEN:
        required: false
      REGISTRY_TOKEN:
        required: true

jobs:
  lint-and-test:
    runs-on: ubuntu-24.04
    timeout-minutes: 15
    steps:
      - uses: actions/checkout@v4
        with:
          fetch-depth: 0 # SonarQube에 전체 히스토리 필요

      - uses: actions/setup-node@v4
        with:
          node-version: ${{ inputs.node-version }}
          cache: 'npm'

      - name: 의존성 설치 및 감사
        run: |
          npm ci --ignore-scripts
          npm audit --audit-level=high || echo "::warning::npm audit에서 high 이상 취약점 발견"

      - name: 린트
        run: npm run lint

      - name: 단위 테스트 + 커버리지
        run: npm run test -- --coverage --ci
        env:
          CI: true

      - name: 커버리지 게이트 (80% 미만 실패)
        run: |
          COVERAGE=$(cat coverage/coverage-summary.json | jq '.total.lines.pct')
          echo "Line coverage: ${COVERAGE}%"
          if (( $(echo "$COVERAGE < 80" | bc -l) )); then
            echo "::error::커버리지가 80% 미만입니다: ${COVERAGE}%"
            exit 1
          fi

      - name: SonarQube 분석
        if: inputs.enable-sonar && secrets.SONAR_TOKEN != ''
        uses: SonarSource/sonarqube-scan-action@v3
        env:
          SONAR_TOKEN: ${{ secrets.SONAR_TOKEN }}

  build-and-push:
    needs: lint-and-test
    runs-on: ubuntu-24.04
    timeout-minutes: 10
    permissions:
      packages: write
      contents: read
    outputs:
      image-digest: ${{ steps.build.outputs.digest }}
    steps:
      - uses: actions/checkout@v4

      - name: Docker 이미지 빌드 및 푸시
        id: build
        uses: docker/build-push-action@v6
        with:
          context: .
          push: true
          tags: |
            ${{ inputs.docker-registry }}/${{ github.repository }}:${{ github.sha }}
            ${{ inputs.docker-registry }}/${{ github.repository }}:latest
          cache-from: type=gha
          cache-to: type=gha,mode=max
          provenance: true
          sbom: true

      - name: 이미지 취약점 스캔
        uses: aquasecurity/trivy-action@master
        with:
          image-ref: '${{ inputs.docker-registry }}/${{ github.repository }}:${{ github.sha }}'
          severity: 'CRITICAL,HIGH'
          exit-code: '1'
          format: 'sarif'
          output: 'trivy-results.sarif'

      - name: 스캔 결과 업로드
        if: always()
        uses: github/codeql-action/upload-sarif@v3
        with:
          sarif_file: 'trivy-results.sarif'

# 제품 팀의 .github/workflows/ci.yml
name: CI
on:
  pull_request:
    branches: [main]
  push:
    branches: [main]

jobs:
  golden-ci:
    uses: my-org/.github-workflows/.github/workflows/golden-ci.yml@v2.3.1
    with:
      node-version: '22'
      enable-sonar: true
    secrets:
      SONAR_TOKEN: ${{ secrets.SONAR_TOKEN }}
      REGISTRY_TOKEN: ${{ secrets.GITHUB_TOKEN }}

# .github/workflows/golden-cd.yml
name: Golden Path CD
on:
  workflow_call:
    inputs:
      environment:
        type: string
        required: true
      image-tag:
        type: string
        required: true
      canary-weight:
        type: number
        default: 10
      analysis-duration:
        type: string
        default: '5m'
    secrets:
      KUBE_CONFIG:
        required: true
      DATADOG_API_KEY:
        required: false

jobs:
  deploy-canary:
    runs-on: ubuntu-24.04
    environment:
      name: ${{ inputs.environment }}-canary
      url: https://${{ inputs.environment }}.internal.example.com
    steps:
      - uses: actions/checkout@v4

      - name: kubeconfig 설정
        run: |
          mkdir -p ~/.kube
          echo "${{ secrets.KUBE_CONFIG }}" | base64 -d > ~/.kube/config

      - name: 카나리 배포 (트래픽 ${{ inputs.canary-weight }}%)
        run: |
          kubectl argo rollouts set image my-app \
            my-app=${{ inputs.image-tag }}
          kubectl argo rollouts promote my-app --full=false

      - name: 지표 기반 자동 분석 (${{ inputs.analysis-duration }})
        id: analysis
        run: |
          echo "분석 시작: $(date)"
          sleep 30  # 메트릭 수집 대기

          # Datadog에서 에러율 조회
          ERROR_RATE=$(curl -s \
            "https://api.datadoghq.com/api/v1/query?from=$(date -d '-5min' +%s)&to=$(date +%s)&query=sum:http.errors{service:my-app,version:canary}.as_rate()" \
            -H "DD-API-KEY: ${{ secrets.DATADOG_API_KEY }}" | jq '.series[0].pointlist[-1][1]')

          P95_LATENCY=$(curl -s \
            "https://api.datadoghq.com/api/v1/query?from=$(date -d '-5min' +%s)&to=$(date +%s)&query=p95:http.latency{service:my-app,version:canary}" \
            -H "DD-API-KEY: ${{ secrets.DATADOG_API_KEY }}" | jq '.series[0].pointlist[-1][1]')

          echo "에러율: ${ERROR_RATE}, P95 지연: ${P95_LATENCY}ms"

          # 중단 조건: 에러율 1% 초과 또는 P95 500ms 초과
          if (( $(echo "$ERROR_RATE > 0.01" | bc -l) )) || \
             (( $(echo "$P95_LATENCY > 500" | bc -l) )); then
            echo "::error::카나리 분석 실패 - 자동 롤백 실행"
            echo "result=fail" >> $GITHUB_OUTPUT
          else
            echo "카나리 분석 통과"
            echo "result=pass" >> $GITHUB_OUTPUT
          fi

      - name: 자동 롤백 (분석 실패 시)
        if: steps.analysis.outputs.result == 'fail'
        run: |
          kubectl argo rollouts abort my-app
          echo "::error::카나리 롤백 완료. 에러율 또는 지연 시간이 기준을 초과했습니다."
          exit 1

  promote-full:
    needs: deploy-canary
    runs-on: ubuntu-24.04
    environment:
      name: ${{ inputs.environment }}-production
    steps:
      - name: 전체 트래픽 전환
        run: |
          kubectl argo rollouts promote my-app --full

      - name: 배포 완료 확인
        run: |
          kubectl argo rollouts status my-app --timeout 300s
          echo "배포 완료: $(date)"

# GitHub CLI로 branch protection 설정
gh api repos/{owner}/{repo}/branches/main/protection \
  --method PUT \
  --input - <<'EOF'
{
  "required_status_checks": {
    "strict": true,
    "contexts": [
      "golden-ci / lint-and-test",
      "golden-ci / build-and-push",
      "security / trivy-scan"
    ]
  },
  "enforce_admins": true,
  "required_pull_request_reviews": {
    "required_approving_review_count": 1,
    "dismiss_stale_reviews": true,
    "require_code_owner_reviews": true
  },
  "restrictions": null,
  "allow_force_pushes": false,
  "allow_deletions": false
}
EOF

# CHANGELOG.md 예시
## [2.3.1] - 2026-03-01
### Fixed
- Trivy 스캔에서 SBOM 생성 시 OCI 레이어 참조 오류 수정

## [2.3.0] - 2026-02-15
### Added
- SonarQube 분석 결과를 PR 코멘트로 자동 게시

## [2.2.0] - 2026-02-01
### Changed
- ubuntu-22.04 -> ubuntu-24.04 러너 업그레이드
- Node.js 기본 버전 20 -> 22

### Breaking
- enable-sonar 입력이 기본 true로 변경 (기존 false)

# 골든패스 저장소의 릴리스 자동 알림
name: Notify Teams on Release
on:
  release:
    types: [published]

jobs:
  notify:
    runs-on: ubuntu-24.04
    steps:
      - name: Slack 알림
        uses: slackapi/slack-github-action@v2
        with:
          webhook: ${{ secrets.SLACK_PLATFORM_WEBHOOK }}
          payload: |
            {
              "text": "골든패스 ${{ github.event.release.tag_name }} 릴리스",
              "blocks": [
                {
                  "type": "section",
                  "text": {
                    "type": "mrkdwn",
                    "text": "*골든패스 ${{ github.event.release.tag_name }}* 가 릴리스되었습니다.\n${{ github.event.release.body }}\n\n각 팀의 workflow 파일에서 버전을 업데이트해 주세요."
                  }
                }
              ]
            }

# 배포 빈도와 리드타임 자동 수집
name: DORA Metrics
on:
  workflow_run:
    workflows: ['Golden Path CD']
    types: [completed]

jobs:
  collect-metrics:
    runs-on: ubuntu-24.04
    steps:
      - name: 리드타임 계산 (첫 커밋 -> 프로덕션 배포)
        run: |
          # 이 배포에 포함된 커밋의 가장 이른 시간
          FIRST_COMMIT=$(git log --format=%aI origin/main..HEAD | tail -1)
          DEPLOY_TIME=$(date -Iseconds)

          # 리드타임 (초)
          LEAD_TIME=$(( $(date -d "$DEPLOY_TIME" +%s) - $(date -d "$FIRST_COMMIT" +%s) ))

          echo "Lead time: ${LEAD_TIME}s ($(( LEAD_TIME / 3600 ))h)"

          # Prometheus Pushgateway로 지표 전송
          cat <<METRIC | curl --data-binary @- http://pushgateway.internal:9091/metrics/job/dora
          deployment_lead_time_seconds{service="my-app"} ${LEAD_TIME}
          deployment_count_total{service="my-app"} 1
          METRIC

      - name: 변경 실패율 계산
        if: github.event.workflow_run.conclusion == 'failure'
        run: |
          cat <<METRIC | curl --data-binary @- http://pushgateway.internal:9091/metrics/job/dora
          deployment_failure_total{service="my-app"} 1
          METRIC

Error: Input required and not supplied: REGISTRY_TOKEN

# 해결 방법 1: 명시적 전달
jobs:
  ci:
    uses: org/.github-workflows/.github/workflows/golden-ci.yml@v2
    secrets:
      REGISTRY_TOKEN: ${{ secrets.GITHUB_TOKEN }}

# 해결 방법 2: 전체 상속 (보안상 비권장)
jobs:
  ci:
    uses: org/.github-workflows/.github/workflows/golden-ci.yml@v2
    secrets: inherit

Error: 카나리 분석 실패 - 에러율 0.08 (기준 0.01)
# 실제로는 이전 버전의 에러가 포함된 윈도우

# 해결: 분석 시작 전 대기 시간 + 윈도우 조정
- name: 메트릭 안정화 대기
  run: sleep 120 # 2분 대기 후 분석 시작

- name: 분석 윈도우를 3분으로 설정
  run: |
    # from: 2분 전, to: 현재 (안정화 대기 후의 순수 카나리 구간)
    FROM=$(date -d '-3min' +%s)
    TO=$(date +%s)

Cache not found for input keys: npm-Linux-abc123...

# 해결: 폴백 캐시 키 사용
- uses: actions/cache@v4
  with:
    path: ~/.npm
    key: npm-${{ runner.os }}-${{ hashFiles('**/package-lock.json') }}
    restore-keys: |
      npm-${{ runner.os }}-