feat: Alpine ベースの Claude Code リモート実行 Helm チャート初版 (v2.1.259)

gateway(nginx) + manager(python 標準ライブラリ) + セッションごとの使い捨て Pod +
reaper CronJob の構成。ブラウザ(PC/スマホ)からアクセスし、セッション単位で
独立した Alpine コンテナに Git リポジトリ(GitHub/Gitea など)をチェックアウトして
編集・検証・プッシュする。無操作が続いたセッションは Pod ごと自動破棄。

- セキュリティ: セッション NS 分離 / restricted PodSecurity / RBAC はセッション NS の
  pods,services のみの Role / セッション Pod は SA トークン非マウント・非 root・
  readOnlyRootFilesystem・drop ALL caps・seccomp / NetworkPolicy で egress を
  DNS+HTTPS+SSH に限定 / Git ホスト allow-list / ResourceQuota+LimitRange
- ライフサイクル: idleTimeout(Pod 内ウォッチドッグ + manager 回収) / maxLifetime
  (activeDeadlineSeconds) / maxSessions / 予備の孤児掃除 CronJob
- 認証: token(既定) / basic / forward(外部SSO) / none。WebSocket は Cookie トークン
- Claude 認証: ANTHROPIC_API_KEY または CLAUDE_CODE_OAUTH_TOKEN
- CI: helm-release.yaml(未リリース版のみ tag+release+publish) /
  image-update-and-release.yaml(週次 npm 追従) / session-image.yaml(multi-arch build)
- files/ 実体を .Files.Get で ConfigMap 化。helm lint / template 検証済み

templates/secret-git.yaml

@@ -0,0 +1,30 @@
+{{- $ctx := . -}}
+{{- $sessNs := include "claude-code.sessionsNamespace" . -}}
+{{- range $name, $id := .Values.git.identities }}
+{{- if not $id.existingSecret }}
+---
+# Git アイデンティティ "{{ $name }}"（type: {{ $id.type }}）
+apiVersion: v1
+kind: Secret
+metadata:
+  name: {{ include "claude-code.fullname" $ctx }}-git-{{ $name }}
+  namespace: {{ $sessNs }}
+  labels:
+    {{- include "claude-code.labels" $ctx | nindent 4 }}
+    claude-code.cafepieters.com/git-identity: {{ $name | quote }}
+type: Opaque
+stringData:
+  {{- if eq $id.type "ssh" }}
+  {{- if not $id.sshPrivateKey }}{{ fail (printf "git.identities.%s: type=ssh には sshPrivateKey か existingSecret が必要です" $name) }}{{- end }}
+  {{- if not $id.knownHosts }}{{ fail (printf "git.identities.%s: type=ssh には knownHosts が必須です（ホスト鍵の TOFU を無効化するため）" $name) }}{{- end }}
+  id: {{ $id.sshPrivateKey | quote }}
+  known_hosts: {{ $id.knownHosts | quote }}
+  {{- else if eq $id.type "https-token" }}
+  {{- if not $id.token }}{{ fail (printf "git.identities.%s: type=https-token には token か existingSecret が必要です" $name) }}{{- end }}
+  username: {{ $id.username | default "x-access-token" | quote }}
+  token: {{ $id.token | quote }}
+  {{- else }}
+  {{ fail (printf "git.identities.%s: type は ssh か https-token を指定してください" $name) }}
+  {{- end }}
+{{- end }}
+{{- end }}