docs: 릴리즈 브랜치 수동 생성 금지와 승격 계약 명시

[Whale0928]

배경

bottle-note/workspace#435 후속. 2026-09-04 세 저장소의 릴리즈 파이프라인을 "검증 후 승격" 구조로 바꾸고 운영 릴리즈까지 검증을 마쳤다. 그 계약을 저장소 지침에 반영한다.

변경

릴리즈 브랜치 수동 생성 금지를 명시했다. 릴리즈 브랜치는 생성 시점 소스의 .github/workflows 사본을 그대로 들고 온다. 손으로 만들면 낡은 워크플로 스냅샷이 운영 경로에 다시 들어온다. 2026-08-31 admin-dashboard 사고에서 releases/2026-08-31/1, /2가 release PR create를 거치지 않고 만들어졌고, 그 결과 한 병합에서 구 pull_request 워크플로와 신 pull_request_target 워크플로가 동시에 실행됐다.

이미지 공개 순서를 적었다. immutable 태그 push → cosign 서명 → 검증 → 채널 태그 승격 → 재검증. 승격 이전 어느 단계가 실패해도 *_latest_production은 이전 digest를 유지한다. 상세는 k8s-platform의 운영 가이드 5.3절로 연결했다.

배포 경로 표를 현행화했다. 표준 경로가 Release PR인데 문서에는 release: published만 적혀 있었다.

검증

2026-09-04 세 저장소 운영 릴리즈 실측: release PR deployment 각 1건(중복 없음), immutable 태그만 push, digest와 채널 태그 양쪽 cosign 검증 통과, 릴리즈 브랜치 자동 삭제. 운영 kustomization의 네 digest가 모두 검증된 값과 일치한다.