자체 빌드 이미지 3종(cloudnative-pg/cnpg-postgresql/etcd) + 대응 헬름 차트 도입

security-catalog 프로젝트에서 첫 실사용 자체 빌드 이미지 3종을 포팅한다 — 전부
상위 태그·베이스 OS 교체로 해소 안 되는 CVE(Go 모듈 정적 링크 또는 미수정 CRITICAL/
HIGH)를 자체 빌드(소스 컴파일 또는 SUSE BCI 재설치)로 대응한다:

- images/cloudnative-pg: CNPG operator, release-1.30 소스 컴파일 + bci-micro
- images/cnpg-postgresql: PostgreSQL 18.4, bci-base + zypper 재설치
- images/etcd: etcd v3.7.1, 소스 컴파일(x/text 강제 업그레이드) + bci-micro

함께 추가:
- manifests/helm/{cloudnative-pg,cnpg-cluster,etcd} — 위 이미지를 참조하는 카탈로그 차트
- scripts/deploy-test/*.sh, .claude/deploy-test-procedure.md — CVE 0건과 별개로
  "실제로 뜨는가"를 검증하는 배포 스모크 테스트
- .claude/pitfalls.md — 자체 빌드/배포 테스트 중 실측한 함정 모음

검토 중 발견해 반영한 수정:
- cloudnative-pg 차트의 image 블록을 etcd와 동일한 registry/repository/tag 3필드+
  따옴표 포맷으로 통일 — 기존 포맷(repository에 registry+repo 결합, 따옴표 없음)은
  patch-catalog-tag.py 의 split 패처가 tag만 갱신하고 repository는 그대로 남기는
  조용한 부분 치환을 일으켜, 향후 레지스트리 마이그레이션 시 깨진 참조를 만들 수 있었다
- cnpg-cluster 차트의 SLES 커버리지 코멘트를 최신 실측(trivy가 SLES 15.7을 정상
  커버함, 2026-07-29 재측정)에 맞게 정정 — 폐기된 "측정 불가/OVAL 우회 필요" 결론이
  남아있었다
- CLAUDE.md/MEMORY.md 의 "images/ 디렉토리 없음" 서술을 갱신하고, 레지스트리
  마이그레이션(docker.io/wbsong111 → docker.io/paasup)·decisions/analysis 문서 이관·
  리소스 프로파일 추가를 다음 작업으로 기록

이 3개 이미지는 아직 dip-catalog 자체 CI(build-image.yml)로 빌드·게이트·push 를
실행해본 적이 없다 — 현재 참조 태그는 security-catalog 쪽에서 이미 검증된 것이다.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

manifests/helm/cnpg-cluster/1.0.0/dip-values.yaml

@@ -0,0 +1,110 @@
+# cnpg-cluster — DIP 플랫폼 기본 배포값 (멀티 테넌트 운영 기준)
+
+instances: 3
+
+postgresql:
+  # custom-values.yaml 과 동일하게 SUSE BCI 15.7 자체 빌드를 쓴다.
+  # 근거·비용 → doc/decisions/0001-cnpg-postgresql-image.md
+  # trivy 는 SLES 15.7 을 정상 커버한다(2026-07-29 재측정 — doc/analysis/sles-oval-measurement.md).
+  # 실효 C/H 0/0, 게이트 PASS.
+  imageName: "docker.io/wbsong111/cnpg-postgresql:18.4-bci15.7-hardened-20260729"
+
+  parameters:
+    max_connections: "200"
+    shared_buffers: 512MB
+    work_mem: 16MB
+    maintenance_work_mem: 256MB
+    effective_cache_size: 3GB
+    log_timezone: Asia/Seoul
+    timezone: Asia/Seoul
+    # 감사 로깅 — pgaudit 대상 지정
+    pgaudit.log: "ddl, role, write"
+    pgaudit.log_catalog: "off"
+    pgaudit.log_parameter: "on"
+
+  sharedPreloadLibraries:
+    - pgaudit
+    - pg_stat_statements
+
+  # 운영 환경은 최소 1개 동기 복제본을 요구한다.
+  synchronous:
+    method: any
+    number: 1
+
+primaryUpdateStrategy: unsupervised
+primaryUpdateMethod: switchover
+
+storage:
+  size: 100Gi
+  storageClass: longhorn
+
+walStorage:
+  enabled: true
+  size: 50Gi
+  storageClass: longhorn
+
+resources:
+  requests:
+    cpu: "1"
+    memory: 4Gi
+  limits:
+    cpu: "4"
+    memory: 8Gi
+
+bootstrap:
+  initdb:
+    database: appdb
+    owner: appuser
+    # 플랫폼은 Infisical 로 자격증명을 주입한다.
+    secretName: "$INFISICAL_SECRET"
+    encoding: UTF8
+    postInitApplicationSQL: []
+
+databases:
+  - name: appdb
+    owner: appuser
+    ensure: present
+    reclaimPolicy: retain
+    extensions:
+      - name: pg_stat_statements
+      - name: pgaudit
+
+enableSuperuserAccess: false
+
+affinity:
+  enablePodAntiAffinity: true
+  # 운영 클러스터는 노드 수 >= instances 이므로 required 로 노드 분산을 강제한다.
+  podAntiAffinityType: required
+  topologyKey: kubernetes.io/hostname
+  nodeSelector: {}
+  tolerations: []
+
+monitoring:
+  enablePodMonitor: true
+
+backup:
+  enabled: true
+  retentionPolicy: 30d
+  barmanObjectStore:
+    destinationPath: "s3://dip-pg-backup/cnpg"
+    endpointURL: ""
+    s3Credentials:
+      accessKeyId:
+        name: pg-backup-s3
+        key: ACCESS_KEY_ID
+      secretAccessKey:
+        name: pg-backup-s3
+        key: ACCESS_SECRET_KEY
+
+scheduledBackup:
+  enabled: true
+  schedule: "0 0 2 * * *"
+
+pooler:
+  enabled: true
+  instances: 2
+  type: rw
+  poolMode: transaction
+  parameters:
+    max_client_conn: "1000"
+    default_pool_size: "25"