refactor: 구조 변경

docs/architecture/repository-taxonomy.md

@@ -8,11 +8,11 @@
 
 | 분류 | 판단 질문 | 현재 예 |
 |---|---|---|
-| `platform` | GitOps control plane이거나, 둘 이상의 system이 독립 lifecycle로 소비할 cluster capability인가? | Argo inventory, Vault shared service |
-| `systems` | 하나의 bounded context가 함께 소유하는 backing system인가? | Project Auth의 PostgreSQL, Keycloak, realm/client sync |
-| `workloads` | 별도 source repository에서 빌드하는 first-party 실행 단위인가? | `auth-server`, `api-server` |
-| `clusters` | 특정 클러스터의 최종 composition 값인가? | namespace, host, digest, Vault role, NetworkPolicy |
-| `iac` | Kubernetes가 아닌 외부 API 객체를 선언하는가? | Vault mounts, policies, auth roles, database roles |
+| `gitops/platform` | GitOps control plane이거나, 둘 이상의 system이 독립 lifecycle로 소비할 cluster capability인가? | Argo inventory, Vault shared service |
+| `gitops/apps/systems` | 하나의 bounded context가 함께 소유하는 backing system인가? | Project Auth의 PostgreSQL, Keycloak, realm/client sync |
+| `gitops/apps/workloads` | 별도 source repository에서 빌드하는 first-party 실행 단위인가? | `auth-server`, `api-server` |
+| `gitops/clusters` | 특정 클러스터의 최종 composition 값인가? | namespace, host, digest, Vault role, NetworkPolicy |
+| `infrastructure` | Kubernetes가 아닌 외부 API 객체를 선언하는가? | Vault mounts, policies, auth roles, database roles |
 | `bootstrap` | GitOps controller가 존재하기 전에 필요한 최소 seed인가? | Argo CD 설치 버전, 제한된 control-plane AppProject와 root Application |
 
 다음 세 질문을 순서대로 사용합니다.
@@ -23,9 +23,10 @@
 
 제품 이름만으로 분류하지 않습니다. 예를 들어 Keycloak이 여러 system의
 공용 identity service가 되고 별도 owner와 release cadence를 갖게 되면
-실행 서비스는 `platform/`으로 이동할 수 있습니다. 그래도 Project Auth
-realm/client 구성은 `systems/auth-system/`에 남습니다. 현재 Keycloak과
-PostgreSQL은 Project Auth 전용이므로 모두 system 소유입니다.
+실행 서비스는 `gitops/platform/`으로 이동할 수 있습니다. 그래도 Project
+Auth realm/client 구성은 `gitops/apps/systems/auth-system/`에 남습니다.
+현재 Keycloak과 PostgreSQL은 Project Auth 전용이므로 모두 system
+소유입니다.
 
 ## Path contract
 
@@ -33,16 +34,16 @@ PostgreSQL은 Project Auth 전용이므로 모두 system 소유입니다.
 contract입니다.
 
 ```text
-platform/shared-services/<name>/base
-systems/<system>/base
-workloads/<workload>/base
+gitops/platform/shared-services/<name>/base
+gitops/apps/systems/<system>/base
+gitops/apps/workloads/<workload>/base
 
-clusters/<cluster>/overlays/platform/<name>
-clusters/<cluster>/overlays/systems/<system>
-clusters/<cluster>/overlays/workloads/<workload>
+gitops/clusters/<cluster>/overlays/platform/<name>
+gitops/clusters/<cluster>/overlays/systems/<system>
+gitops/clusters/<cluster>/overlays/workloads/<workload>
 
-platform/control-plane/argocd/projects
-platform/control-plane/argocd/application-sets
+gitops/platform/control-plane/argocd/projects
+gitops/platform/control-plane/argocd/application-sets
 ```
 
 Base에는 재사용 가능한 workload 구조, Service, ServiceAccount와 기본
@@ -68,8 +69,9 @@ Base 내부의 PostgreSQL·Keycloak 참조는 namespace를 포함하지 않은
 Service DNS를 사용하므로 overlay namespace에 재사용할 수 있습니다. 다만
 아직 다음 dev/single-node 가정은 남아 있습니다.
 
-- `systems/auth-system/base`의 Keycloak 실행 command가 `start-dev`입니다.
-- `platform/shared-services/vault/base/files/vault/vault.hcl`이
+- `gitops/apps/systems/auth-system/base`의 Keycloak 실행 command가
+  `start-dev`입니다.
+- `gitops/platform/shared-services/vault/base/files/vault/vault.hcl`이
   `tls_disable = 1`과 고정된 single-node `node_id`를 사용합니다.
 
 이는 숨겨진 환경 중립성이 아니라 명시적인 리팩터링 부채입니다. 두 번째
@@ -88,14 +90,14 @@ base -> dev-k3s overlay -> ApplicationSet inventory -> generated Application
 - Cluster addon: Kubernetes API를 확장하거나 admission/control-plane
   기능을 제공하는 외부 chart. 현재 Sealed Secrets와 Vault Agent Injector가
   해당합니다. Inventory는
-  `platform/control-plane/argocd/application-sets/platform-addons.yaml`에
+  `gitops/platform/control-plane/argocd/application-sets/platform-addons.yaml`에
   둡니다.
 - Shared service: 일반 workload처럼 namespace에서 실행되지만 여러 system이
   사용할 수 있는 capability. 현재 Vault가 해당합니다.
 
 외부 Helm chart를 복사해 base처럼 유지하지 않습니다. chart version과
 values는 Argo inventory에서 pin합니다. 저장소가 직접 소유하는 shared
-service manifest만 `platform/shared-services/`에 둡니다.
+service manifest만 `gitops/platform/shared-services/`에 둡니다.
 
 `foundation`은 소유권 분류가 아닙니다. Bootstrap 때 먼저 필요하다는 뜻은
 분리된 ApplicationSet category, `autoSync` gate와 runbook 순서로
@@ -104,16 +106,16 @@ service manifest만 `platform/shared-services/`에 둡니다.
 
 ## System와 workload의 경계
 
-`systems/auth-system`은 인증 bounded context가 함께 책임지는 데이터와
-identity backing services입니다.
+`gitops/apps/systems/auth-system`은 인증 bounded context가 함께 책임지는
+데이터와 identity backing services입니다.
 
 - PostgreSQL StatefulSet와 초기 database contract
 - Keycloak server와 Project Auth realm
 - Keycloak client synchronization
 
-`workloads/auth-server`와 `workloads/api-server`는 각각 별도 source
-repository와 release digest가 있는 애플리케이션입니다. Workload가
-auth-system을 사용하더라도 두 lifecycle을 합치지 않습니다.
+`gitops/apps/workloads/auth-server`와 `gitops/apps/workloads/api-server`는
+각각 별도 source repository와 release digest가 있는 애플리케이션입니다.
+Workload가 auth-system을 사용하더라도 두 lifecycle을 합치지 않습니다.
 
 Dev namespace도 소유권을 드러냅니다.
 
@@ -145,12 +147,12 @@ state가 아닙니다.
 
 | 변경 | 위치 |
 |---|---|
-| 또 다른 공용 admission controller | `platform/control-plane/argocd/application-sets/platform-addons.yaml` |
-| 공용 object storage service base | `platform/shared-services/object-storage/base` |
-| Project Auth 전용 Redis | `systems/auth-system/base` |
-| 새 first-party worker | `workloads/<worker>/base` |
-| dev worker digest/secret annotation | `clusters/dev-k3s/overlays/workloads/<worker>` |
-| Vault workload policy/role | `vault-workloads` Terraform state와 `policies/vault/` |
+| 또 다른 공용 admission controller | `gitops/platform/control-plane/argocd/application-sets/platform-addons.yaml` |
+| 공용 object storage service base | `gitops/platform/shared-services/object-storage/base` |
+| Project Auth 전용 Redis | `gitops/apps/systems/auth-system/base` |
+| 새 first-party worker | `gitops/apps/workloads/<worker>/base` |
+| dev worker digest/secret annotation | `gitops/clusters/dev-k3s/overlays/workloads/<worker>` |
+| Vault workload policy/role | `infrastructure/live/dev-k3s/vault-workloads`와 그 아래 `policies/` |
 | Vault auth backend | `vault-foundation` Terraform state |
 
 분류가 애매하면 설치 순서가 아니라 owner와 소비자 경계를 ADR에 먼저