n8n: OIDC SSO 버튼 미노출 버그 기록, envFrom 누락 수정 및 Helm 드리프트 위험 문서화

services/n8n.md

@@ -1,6 +1,6 @@
 ---
 title: n8n
-updated: 2026-04-16
+updated: 2026-07-11
 tags: [services, n8n, oidc, gitea]
 ---
 
@@ -42,6 +42,13 @@ EXTERNAL_FRONTEND_HOOKS_URLS=/assets/oidc-frontend-hook.js
 - confidential client: yes
 - Gitea admin → Settings → Applications 에서 관리
 
+### 배포 구조 — Helm + 수동 패치 혼재 (주의)
+
+n8n은 Helm release(`n8n-2.0.1`, chart 자체는 OIDC 애드온 미지원)로 설치되어 있으나, OIDC 관련 리소스(`n8n-oidc-secret`, `n8n-oidc-hooks` ConfigMap, `n8n-app-config`의 OIDC 관련 키, hooks volume mount, `envFrom` 항목)는 설치 후 `kubectl apply`/`kubectl patch`로 **Helm 값 외부에서 수동 추가**됨. `helm get values n8n`에는 이 내용이 전혀 안 보임.
+
+- **드리프트 위험**: `helm upgrade`를 values 변경 없이 재실행하면 Deployment가 chart 템플릿대로 재렌더링되면서 수동 patch (`envFrom`의 `n8n-oidc-secret` secretRef 등)가 **되돌아갈 수 있음**. OIDC 관련 변경 후에는 반드시 `kubectl -n n8n get deployment n8n -o yaml`로 envFrom/volumeMounts 유지 여부 확인할 것.
+- `envFrom` 순서(2026-07-11 기준): `configMapRef n8n-app-config` → `secretRef n8n-app-secret` → `secretRef n8n-oidc-secret`
+
 ### 동작
 
 1. n8n 로그인 페이지에 "Sign in with SSO" 버튼 표시