chore: initialize from backend template 0a6dd0e

docs/runbooks/auth-token-rotation-failure.md

@@ -0,0 +1,69 @@
+---
+title: Runbook — JWT key rotation 시 인증 실패 spike
+category: AUTH
+error_codes: [AUTH_TOKEN_EXPIRED, AUTH_KID_UNKNOWN, AUTH_JWKS_UNAVAILABLE, AUTH_TOKEN_INVALID_SIGNATURE]
+severity: P1
+owner: oncall
+last_updated: 2026-05-22
+status: stub
+---
+
+# Runbook: JWT key rotation 시 인증 실패 spike
+
+## 1. Trigger
+
+이 runbook은 다음 alert에서 발동됩니다.
+
+- alert name: `auth_401_error_rate_high` 또는 `jwks_refresh_failure_spike`
+- alert payload 필수 field: `operation`, `error.code`, `error.category`, `runbook_link`, `dependency_name`
+- 임계: 401 error rate > 5% 5분 지속 OR JWKS refresh failure count > 10건/분
+
+## 2. First Response (5분 이내)
+
+### Step 1 — 확인
+1. JWKS endpoint health check: `curl -sf https://<idp-host>/.well-known/jwks.json | jq '.keys | length'`
+2. log query에서 `error.code` 분포 확인 — `AUTH_KID_UNKNOWN` 비중이 높으면 rotation 원인 강력 시사
+3. IdP rotation schedule 확인 (직전 24h 내 rotation 이벤트가 있었는지)
+
+### Step 2 — 임시 격리
+- JWKS cache TTL을 짧게(예: 60s) 강제하여 새 kid 전파 가속
+- 새 kid가 JWKS에 publish되어 있는지 확인. 누락이면 IdP에 republish 요청
+
+## 3. Diagnosis
+
+- log query (Loki/CloudWatch): `{service="auth"} | error.category="AUTH" | dependency_name="jwks-endpoint"`
+- metric panel: `auth_jwks_cache_hit_ratio`, `auth_jwks_refresh_failure_total`, `auth_kid_unknown_total`
+- trace: 실패한 request 1건에서 `traceId` 추출 → IdP outbound span 확인
+- 가능한 원인:
+  - 새 kid가 JWKS에 publish되기 전 token 발급 → 24h overlap window 안에 있는지 확인
+  - JWKS endpoint 장애 (5xx, timeout) → IdP status page 확인
+  - 시계 skew로 인한 만료 오판 → NTP sync 상태 확인
+
+## 4. Mitigation
+
+- 단기: old kid를 임시 재허용 (rollback). overlap window를 48h로 일시 확장
+- IdP에 새 JWKS publish 재시도 요청
+- 장기: rotation 절차에 "publish → 24h 대기 → switch" 단계 강제. observability에 kid 분포 metric 추가
+
+## 5. Escalation
+
+- P2 → P1 격상 조건: 401 error rate > 20% 또는 다중 tenant에 동시 발생
+- 다음 on-call로 page: 10분 내 회복 안 되면 IdP team 또는 platform-security team page
+
+## 6. Recovery / Verification
+
+- 회복 확인 metric: `auth_401_error_rate < 1%` 5분 지속, `AUTH_KID_UNKNOWN` 건수 0
+- post-incident:
+  - rotation 절차 RCA 작성
+  - JWKS overlap window 정책 문서 업데이트
+  - kid 분포 dashboard 영구화
+
+## 7. Related
+
+- error-codes.yaml rows: `AUTH_TOKEN_EXPIRED`, `AUTH_KID_UNKNOWN`, `AUTH_JWKS_UNAVAILABLE`, `AUTH_TOKEN_INVALID_SIGNATURE`
+- metrics.yaml: `auth_jwks_cache_hit_ratio`, `auth_jwks_refresh_failure_total`
+- 관련 branch: [[feature-security-operational-baseline]]
+
+---
+
+> **Stub 상태 안내**: 이 runbook은 skeleton 단계의 stub. 도메인 도입 시 실제 IdP 종류·rotation 정책·JWKS endpoint URL·dashboard 링크로 보강 필요.