GitOps 이전까지 쓸 배포 파이프라인과 Portal 모드 Chart를 추가한다

GitOps 저장소도 ArgoCD Application도 아직 없어, 그때까지 이 저장소가
push 방식 파이프라인(.gitea/workflows/)을 임시로 소유한다. 무엇을
포기하는지와 넘길 때 할 일은 deploy/README.md에 적었다.

Chart는 portal과 bundles 두 배포 모델을 모두 렌더링한다. ADR-0013이
ADR-0007을 대체했으므로 운영은 portal이 기준이지만, bundles 경로를
언제 삭제할지는 아직 정하지 않았다.

- .gitea/workflows/ci.yaml, deploy-openshift.yaml
- deploy/ci/render-manifests.sh, deploy/examples/
- Chart: mode 분기, selectedDeployment/tier helper, imagePullSecrets,
  toolService.apiKeySecret 참조
- extension-points.md에 미결 항목 9~12 추가

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

deploy/helm/mcp-server/values.yaml

@@ -1,36 +1,48 @@
 # 환경 공통 기본값과 배포 토폴로지. 환경별 차이는 values-{env}.yaml이 덮어쓴다.
 #
 # 이 Chart의 설계 원칙:
-#   1. MCP 배포 하나는 Tool Service 하나만 본다(ADR-0007).
-#      bundle 목록은 항상 한 항목이며 template이 만든다.
-#   2. 배포 대상 전체를 아래 deployments 한 곳에 적는다.
-#      설치할 때 --set deploymentKey=<key>로 하나를 고른다.
-#      배포가 10개든 20개든 파일 수가 늘지 않고, 전체 매핑을 한 화면에서 검토할 수 있다.
-#   3. 환경 축(namespace·이미지·등급별 replica)과 배포 축(어느 Tool Service를 보는가)을 섞지 않는다.
+#   1. 배포 모델이 두 가지다. mode가 그 축을 고른다.
+#      portal  — route↔Tool Service 매핑의 원천이 Portal이다(ADR-0013). 배포 하나가 N route를
+#                서비스하고 route key는 /mcp/{routeKey} URI에서만 온다. 현재 애플리케이션 코드의 경로다.
+#      bundles — 배포 하나가 Tool Service 하나만 보고 매핑을 배포 시점에 못박는다(ADR-0007).
+#                ADR-0013이 대체했지만 코드 경로가 남아 있어 1:1 검증·격리 배포에 쓸 수 있다.
+#   2. 환경 축(namespace·이미지·등급별 replica)과 배포 축(무엇을 보는가)을 섞지 않는다.
 #      values-{env}.yaml에는 deployments가 없고, deployments에는 환경 정보가 없다.
-#   4. identity는 "{배포 이름}-{global.env}"로 조립한다.
+#   3. identity는 "{배포 이름}-{global.env}"로 조립한다.
 #      Redis key namespace이므로 환경끼리 겹치면 서로 Tool snapshot을 덮어쓴다.
 #      사람이 손으로 적지 않게 해 실수를 구조적으로 막는다.
-#   5. 외부에서는 환경별 한 host 아래 publicPath로 구분한다. Route는 Service만 선택하고
-#      컨테이너가 같은 path를 직접 처리하므로 Registry의 1:1 경계는 바뀌지 않는다(ADR-0009).
+#   4. 공개 path는 Route와 컨테이너가 동일하게 사용하고 rewrite하지 않는다(ADR-0009).
 
-# 설치할 배포를 고르는 key. 반드시 --set으로 지정한다.
+# 배포 모델. portal | bundles
+# 기본값을 portal로 둔 이유는 현재 애플리케이션이 실제로 도는 경로이기 때문이다.
+mode: portal
+
+# ---------------------------------------------------------------------------
+# mode=portal 축
+# ---------------------------------------------------------------------------
+portal:
+  # 이 환경에 설치되는 단일 MCP 배포. route가 늘어도 배포는 늘지 않는다.
+  deployment:
+    name: axhub-mcp
+    tier: critical
+    # route key는 이 path 아래 URI segment에서 온다. 여기에 routeKey를 적지 않는다.
+    publicPath: /mcp
+  # Portal registry 조회 주소. 환경마다 다르므로 values-{env}.yaml이 소유한다.
+  # 기본값을 두지 않는 이유는, 빠뜨린 설치가 조용히 성공하는 것보다 렌더링 실패가 낫기 때문이다.
+  registryUrl: ""
+  refreshIntervalSeconds: 300
+  # Portal 조회가 실패한 cold start에서만 읽는 Redis fallback key.
+  # 포털이 registry를 써 넣는 key와 반드시 같아야 한다.
+  registryRedisKey: axhub:mcp:portal-registry
+
+# ---------------------------------------------------------------------------
+# mode=bundles 축
+# ---------------------------------------------------------------------------
+# 설치할 배포를 고르는 key. mode=bundles일 때 반드시 --set으로 지정한다.
 # 기본값을 두지 않는 이유는, 지정을 빠뜨렸을 때 엉뚱한 배포가 조용히 설치되는 것보다
 # 렌더링 실패가 낫기 때문이다.
 deploymentKey: ""
 
-global:
-  # 배포 환경. identity 접미사와 NetworkPolicy 판단에 쓰인다.
-  env: dev
-  # Agent Builder가 있는 namespace. Route를 우회한 Pod 직접 호출을 이 namespace로 제한한다.
-  # MCP와 Tool Service는 같은 namespace이므로 여기 적지 않는다.
-  # TODO: 실제 namespace 확정 시 교체한다.
-  agentBuilderNamespace: ax-hub-agentbuilder-dev
-  # Actuator management 포트에 접근할 관제 namespace.
-  monitoringNamespace: openshift-monitoring
-  # 환경별 공개 MCP host. 실제 OpenShift apps domain으로 교체한다.
-  mcpHost: mcp-dev.apps.example.internal
-
 # 배포 대상 전체. map의 key가 곧 bundle id가 된다.
 #
 #   name        Deployment/Service/ConfigMap/NetworkPolicy 이름. 같은 namespace에서 유일해야 한다
@@ -39,10 +51,6 @@ global:
 #   tier        가용성 등급. 아래 tiers의 key여야 한다
 #   publicPath  Agent Builder가 등록할 외부 MCP path. 전체 topology에서 유일해야 한다
 #
-# 같은 업무의 두 등급이 같은 namePrefix를 공유하는 것은 의도된 구성이다(ADR-0007).
-# 등급을 이름에 넣으면 Tool 재분류가 Tool name 변경이 되어 Agent Builder 재등록을 부른다.
-# 그 안에서 Tool 이름이 겹치지 않게 하는 것은 Tool Service 책임이다.
-#
 # TODO: Tool 목록이 확정되면 실제 Tool Service 이름으로 교체하고, 없는 배포는 삭제한다.
 deployments:
   processing-critical:
@@ -94,6 +102,20 @@ deployments:
     tier: standard
     publicPath: /mcp/hr-standard
 
+# ---------------------------------------------------------------------------
+# 모드 공통
+# ---------------------------------------------------------------------------
+global:
+  # 배포 환경. identity 접미사와 NetworkPolicy 판단에 쓰인다.
+  env: dev
+  # Agent Builder가 있는 namespace. Route를 우회한 Pod 직접 호출을 이 namespace로 제한한다.
+  # TODO: 실제 namespace 확정 시 교체한다.
+  agentBuilderNamespace: ax-hub-agentbuilder-dev
+  # Actuator management 포트에 접근할 관제 namespace.
+  monitoringNamespace: openshift-monitoring
+  # 환경별 공개 MCP host. 실제 OpenShift apps domain으로 교체한다.
+  mcpHost: mcp-dev.apps.example.internal
+
 # OpenShift Router와 MCP 컨테이너가 같은 publicPath를 사용한다. rewrite하지 않는다.
 route:
   # Agent Builder 최대 대기 시간과 맞춘 공개 HTTP 연결 timeout이다.
@@ -103,9 +125,9 @@ route:
 
 # 등급별 가용성 기준. 환경별 values가 덮어쓴다.
 #
-# 배포를 등급으로 나누는 목적이 여기에 있다. 나뉘어 있어야 중요 등급에만 비용을 쓸 수 있다.
 # 다만 나누는 것만으로 가용성이 생기지는 않는다. 같은 노드 배치, namespace 쿼터,
-# 공통 Redis·클러스터 장애는 분할로 막히지 않는다(ADR-0007).
+# 공통 Redis·클러스터 장애는 분할로 막히지 않는다.
+# portal 모드에서는 배포가 하나이므로 등급별 물리 분리가 성립하지 않는다(ADR-0013 전제 2).
 tiers:
   critical:
     replicas: 2
@@ -120,21 +142,28 @@ tiers:
 
 image:
   # TODO: 사내 컨테이너 registry 경로 확정 시 교체한다.
+  # CI가 --set image.tag=<commit sha>로 덮어쓴다.
   repository: image-registry.openshift-image-registry.svc:5000/ax-hub/ax-hub-mcp-server
   tag: "0.1.0"
   pullPolicy: IfNotPresent
+  # 사내 registry가 인증을 요구할 때만 채운다. 예: [{name: harbor-pull}]
+  pullSecrets: []
 
 mcp:
   # Tool Service 매니페스트 조회 주기(초).
-  # 1:1이라 bundle 수가 항상 1이므로 조회 부하는 (replica 수 / 주기)다.
   refreshIntervalSeconds: 30
   refreshJitterSeconds: 5
 
 toolService:
-  # MCP와 같은 namespace에 있으므로 서비스 이름 + 아래 값으로 주소가 완성된다.
+  # bundles 모드에서만 쓴다. MCP와 Tool Service가 같은 namespace라는 전제다.
   port: 8080
   manifestPath: /tool-manifest
   basePath: /mcp
+  # Tool Service 호출용 API key를 담은 Secret. name이 비어 있으면 환경변수를 주입하지 않고
+  # 애플리케이션 기본값을 쓴다. 운영에서는 반드시 채운다.
+  apiKeySecret:
+    name: ""
+    key: tool-server-api-key
 
 redis:
   host: redis