ARB 근거 및 권한

이 설계에서 아키텍처 검토의 근거, 담당 체계, 위험, 승인, 결정 증적 계약을 살펴봅니다. 자동 검증으로 확인한 준비 상태와 변경을 승격하거나 실행할 권한을 분리합니다.

범위: 이 문서는 근거와 권한을 담당합니다. 온톨로지 에이전트 루프는 평가 동작을 담당하고, 전달 계획은 구현 순서를 담당합니다.

고객 경계: Upstream은 일반적인 근거 키와 검증 계약을 정의합니다. 포크는 환경 값, 책임 신원, 목표, 거버넌스가 적용된 근거를 제공합니다.

한눈에 보는 설계

권위 있는 공급자가 정확한 본문, 개정, 범위, 시간, 다이제스트를 결합한 경우에만 근거 참조를 수락합니다. 완전한 근거 집합은 자동 검증에 따른 준비 상태를 입증할 수 있지만 승인 또는 실행 권한을 부여할 수는 없습니다. 최종 결정은 평가된 사례, 조건, 권한 근거, 승인 증적을 별도로 결합합니다.

근거 레인

OperationalEvidenceBundle은 한 원본이 다른 원본을 조용히 대체하지 못하도록 네 개 근거 레인을 분리합니다.

레인	내용	필수 검증
온톨로지	보안이 적용된 객체, 형식화된 경로, 그래프 개정, 토폴로지 완전성	목적, 릴리스, 기준 시점, 구성원, 링크 검증, 최신성
상태	관측, 파생, 목표, 실행 상태 사실	원본 신원, 유효 시간, 완전성, 충돌, 합성 상태
카탈로그	정확한 Rule, Policy, 제약 조건, ActionType, 워크플로 버전	카탈로그 릴리스, 버전, 콘텐츠 다이제스트, 승격 상태
문서	거버넌스가 적용된 발췌문과 외부 보고서	원본 개정, 발췌문 다이제스트, 분류, 보존, 지시 권한 없음

누락, 오래됨, 충돌, 합성, 기준 시점 이후, 대상 불일치, 잘림 상태인 근거는 자동 권한을 보존할 수 없습니다. 정상 근거는 점검을 충족할 수 있지만 호출자의 정책과 승인 한도보다 권한 상한을 높이지 않습니다.

운영 근거 계약

배포에 따라 달라지는 목표는 보편적인 upstream 상수가 아닙니다. 배포는 승인 값, 측정 방법, 결과, 타임스탬프, 승인자, 변경할 수 없는 근거 다이제스트를 기록합니다.

영역	필수 운영 근거	통과 조건
가용성	컨트롤 플레인 SLO와 오류 예산	승인된 목표와 측정된 스테이징 결과
지연 시간	계층별 p50/p95/p99와 종단 간 카나리	포크가 승인한 예산 이내
용량 및 성능	지속 및 버스트 처리율, 지연, 포화, 할당량 여유	손실 없음, 제한된 지연, 포화 지점 기록
신뢰성	서비스별 RPO/RTO와 업무 영향 분석	수치 목표 승인
복구	격리 복원, 펜싱, 이벤트 복구, 장애 조치, 장애 복구 훈련	무결성과 스모크 통과, 목표 충족
보안	위협 검토, 네트워크 데이터 흐름, 신원, 최소 권한 검사	해결되지 않은 심각 또는 높음 점검 결과 없음
개인정보 및 데이터	개인정보 영향 평가, 인벤토리, 분류, 보존, 삭제	개인정보 및 데이터 담당자가 정확한 범위를 승인
운영	서명된 준비 보고서, 카나리, 스모크, 경고, 실행서	모든 필수 운영 점검 통과
공급망	SBOM, 이미지 서명, 출처, 취약성 및 IaC 검사	정확한 릴리스 산출물 검증, 차단 검사 이상 없음
비용	최신 추정치, 월 한도, 할당량, 12/36개월 가정	비용 담당자가 측정된 범위를 승인

필수 근거 프로필은 고정된 컨트롤 정의 59개를 통해 Azure Well-Architected의 다섯 핵심 요소를 모두 다룹니다. 카탈로그 존재는 정의 범위만 입증합니다. 워크로드는 범위가 일치하는 형식화된 증거와 별도 승인이 제공될 때까지 unknown으로 유지됩니다. 읽기 전용 검증기 core/architecture_review/pillar_coverage.py는 생성된 WAF 평가 카탈로그를 고정된 프레임워크 및 BestPractice 정의와 비교합니다. 보안, 비용 최적화, 성능 효율성을 포함한 다섯 핵심 요소의 고유한 컨트롤 정의 59개와 근거 요구 사항 188개를 빠짐없이 대조합니다. 정의가 누락되거나 모호한 경우, 또는 원본 신원이 일치하지 않는 경우 정의 검사가 실패합니다. 이는 워크로드 평가, 규정 준수 결과, 운영 준비 판단 또는 승인이 아닙니다.

담당 체계 연결

운영 게이트는 책임 담당자 슬롯을 사용합니다. 그룹을 슬롯에 지정할 수 있지만, 담당자 연결에는 상향 경로와 직무 분리가 필요한 경우의 별도 승인 권한을 명시합니다.

담당자 슬롯	책임 범위
architecture-owner	아키텍처 기준선, ADR, 제약 조건, 승인된 기술 부채
security-owner	위협 모델, 신원, 네트워크 상태, 보안 예외
privacy-owner	개인정보 영향 평가와 데이터 처리 결정
data-owner	분류, 보존, 법적 보존, 삭제, 데이터 품질
operations-owner	당직, 경고, 실행서, 운영 준비 수락
reliability-owner	SLO, RPO/RTO, 복구 설계, 훈련
release-owner	산출물 출처, 배포, 롤백, 승격 게이트
cost-owner	예산, 할당량, 가격 확인, 용량 승격
performance-owner	성능 목표, 용량, 부하 테스트, 크기 조정, 추세 검토

차단 항목 담당자는 등록된 슬롯 중 하나로 해석되어야 합니다. 에이전트 담당 체계는 별도의 사람 책임 계층이며 운영 담당자 또는 승인 권한을 대체하지 않습니다.

owner_bindings:
  architecture-owner:
    subject: group:<fork-owned-subject>
    escalation: <fork-owned-escalation-route>

근거 연결

매니페스트는 근거 본문이 아니라 메타데이터를 보유합니다. 런타임 검증은 주입된 공급자를 통해 거버넌스가 적용된 본문을 가져오고 다이제스트를 다시 계산하며 범위와 개정을 확인하고 승인자를 검증합니다. 또한 연결 만료와 제어 최신성 중 더 짧은 기간을 적용합니다.

주입된 공급자는 범위가 제한된 본문, 관측 시간, 인증된 승인자 집합 및 인증 참조를 반환합니다. 런타임 준비 상태는 공급자 누락, 본문 또는 URI 불일치, 범위 또는 개정 불일치, 권한이 없는 승인자, 오래되거나 미래의 관측, 관측 뒤에 수행된 승인, 합성 근거 및 고정된 byte 상한을 넘는 본문을 거부합니다. 구조 CLI 검증에서 메타데이터만으로 운영 준비 상태를 만들 수 없습니다.

checklist_evidence_bindings:
  production-terraform-plan:
    kind: artifact
    scope: scope://<fork-owned-scope-reference>
    uri: evidence://<governed-store-reference>
    sha256: sha256:<64-lowercase-hex-digest>
    source_identity: provider:<authenticated-source>
    observed_at: 2026-07-13T00:00:00Z
    recorded_at: 2026-07-13T00:01:00Z
    expires_at: 2027-01-13T00:00:00Z
approval_bindings:
  release-owner:
    scope: scope://<fork-owned-scope-reference>
    uri: evidence://<approval-receipt>
    sha256: sha256:<64-lowercase-hex-digest>
    approved_by: principal:<fork-owned-approver>
    approved_at: 2026-07-13T00:02:00Z
    expires_at: 2027-01-13T00:00:00Z

구조 검증은 알 수 없는 키, 누락된 필드, 잘못된 다이제스트, 유효하지 않은 시간 범위를 차단합니다. 운영 검증은 외부 근거 본문과 권한 연결도 검증합니다. 형식만 유효한 URI 또는 다이제스트는 운영 근거가 아닙니다.

체크리스트 변환 결과는 evidence_kinds를 사용하여 산출물이 메트릭 또는 훈련 요구 사항을 충족한 것으로 처리되지 않도록 합니다. 모든 증거 및 적용 제외 연결은 정확한 워크로드 범위를 지정합니다. owner_bindings는 담당자만 지정하고 approval_bindings는 별도의 최신 승인 증적을 보유합니다. 적용 제외 결과에는 사유가 필요하며, 승인자는 증거 생산자와 달라야 합니다.

위험, 가정, 이슈, 예외

유형	필수 계약
위험	심각도, 담당자 슬롯, 완화책, 잔여 위험, 검토일, 근거 참조
가정	검증 방법, 근거 참조, 담당자, 만료 또는 반증 조건
이슈	미비점을 해소하는 산출물 또는 구현, 담당자, 관측 가능한 종료 조건
예외	정확한 범위, 이유, 보완 제어, 독립 승인, 유효 구간, 감사 참조

수락된 위험은 해결된 상태가 아닙니다. 심각 또는 높음 항목은 완전한 위험 또는 예외 레코드가 독립적으로 검토되고 현재 유효한 경우에만 open 상태를 벗어날 수 있습니다. 만료, 근거 제거, 범위 드리프트, 보완 제어 위반은 검토를 자동으로 다시 엽니다.

매니페스트 검사기는 수락된 위험 및 예외 레코드의 형식과 검토 또는 유효 시간 구간을 검증합니다. 런타임 운영 준비 상태는 공급자 기반 근거 본문 증명도 요구합니다. 실제 보완 제어 검증은 별도의 운영 게이트 작업으로 남아 있습니다.

결정 증적

최종 Decision은 변경할 수 없으며 다음 항목을 포함하거나 연결합니다.

• 정확한 ReviewCase, Change, DecisionCase, ImpactEnvelope 식별자.
• 컨텍스트, 근거 묶음, 그래프 개정, 카탈로그 릴리스, 결정 다이제스트.
• 결과, 근거 설명, 조건, 권한 근거, 유효 구간, 재평가 트리거.
• 요청자, 판단자, 사용된 경우 중재자, 승인자, 정족수, 승인 증적 참조.
• 감사 의도, 종료 감사 참조, 결과로 생성된 거버넌스 ActionType 제안.

근거 항목, 조건, 승인 집합, 대상 개정, 그래프 개정이 바뀌면 새 결정 식별자를 만듭니다. 워크플로 컨텍스트 값이나 변경 가능한 매니페스트 필드는 기존 증적을 수정할 수 없습니다.

재사용 가능한 1.0.0 증적 계약은 내용 기반 식별자를 사용하며 항상 execution_authority=false를 기록합니다. Decision과 Approval 온톨로지 선언은 1.1.0으로 버전이 올라갑니다. 결정 변환 결과는 검토, 결과, 기록 시간, 근거 키, 승인된 증적 객체 및 승인자 신원이 권위 있는 레코드와 일치할 때만 증적을 수락합니다. 증적이 없는 기존 워크플로 결정은 권한이 없는 변환 결과로 유지됩니다.

프로덕션 준비 상태는 변경 가능한 매니페스트 상태가 아니라 이 불변 증적에서 파생합니다. 게이트는 주입된 프로바이더를 통해 증적을 확인하고 내용 기반 신원을 다시 검증합니다. 또한 정확한 검토 ID, 모든 필수 근거, 하나의 공통 대상 리비전, conformant 결과, 현재 유효한 시간 구간, 현재의 사람 승인 권한을 요구합니다. 프로바이더 또는 증적이 없거나, 결과가 conditional 또는 held이거나, 리비전이나 근거가 달라졌거나, 증적이 만료되면 프로덕션 준비 상태는 false로 유지됩니다. 증적 검증은 여전히 실행 권한을 부여하지 않습니다.

실패 동작

의존성	실패 동작
이벤트 버스	역압, 재시도, 배달 불가 메시지 처리, 재현을 사용하며 손실을 승인으로 해석하지 않습니다.
온톨로지 저장소	정확한 릴리스, 대상, 그래프 범위, 최신성을 입증할 수 없으면 보류합니다.
근거 공급자	사용할 수 없음 또는 검증 실패를 기록하고 이전의 연결되지 않은 데이터에서 권한을 유지하지 않습니다.
PostgreSQL 상태 및 감사	안전하게 차단하고 운영에서 프로세스 메모리로 대체하지 않습니다.
Git 호스트	거버넌스 제안을 대기열에 넣고 대역 외 카탈로그 변경을 적용하지 않습니다.
승인 채널	대기열을 보존하고 구성된 대체 채널을 사용하며 시간 초과는 무조치로 종료합니다.
모델 공급자	결정적 경로를 사용하거나 보류하며 모델 출력에 권한을 부여하지 않습니다.
관측성 백엔드	효과에 의존하는 성공을 보류하고 모니터의 모니터 신호를 발생시킵니다.

운영 종료 절차

1. 고객 포크에서 모든 필수 담당자 슬롯을 연결합니다.
2. 검증기가 연결된 공급자를 통해 각 필수 근거 산출물을 첨부합니다.
3. 완전한 위험 또는 예외 계약으로 모든 차단 항목을 해결하거나 공식적으로 수락합니다.
4. 정확한 릴리스에 대해 최신 온톨로지 기반 DecisionCase와 영향 묶음을 만듭니다.
5. 필수 독립 승인을 기록하고 변경할 수 없는 결정 증적을 만듭니다.
6. 승격 작업에서 증적에 결합된 프로덕션 게이트를 실행합니다. 명령줄 구조 검사는 런타임 증적을 만들 수 없으므로, 승격 연결은 프로덕션 준비 상태를 요구하기 전에 거버넌스가 적용된 정확한 증적 프로바이더를 제공합니다.
7. 배포 또는 ActionType 승격이 별도의 거버넌스 결정을 유지하는지 검증합니다.

ARB 통과는 다음 운영 검토를 허용합니다. 리소스를 배포하거나 ActionType을 활성화하지 않습니다.

관련 문서

알아볼 내용	읽을 문서
ARB 진입점과 결정 경계	Architecture Review Board 패킷
온톨로지 및 에이전트 평가	온톨로지 기반 에이전트 루프
의존성 순서에 따른 구현	전달 계획
데이터 및 개인정보 요구 사항	데이터 거버넌스
사람 역할 및 승인 무결성	사용자 RBAC 및 신원
구현 상태 및 남은 작업	구현 원장