# CHANGELOG 2.1.263-b — 手動リリース

v2.1.263-a の上に適用する手動リリース。

## 背景

`claude setup-token` / サブスクリプションのアクセストークンは定期的に失効・ローテーション
される。単発トークン（`authMode: oauth`）注入では、失効のたびに `helm upgrade` が必要だった。

## 追加

- **`anthropic.authMode: credentials`（新既定）**
  - `~/.claude/.credentials.json` 全体（`accessToken` + `refreshToken` + `expiresAt`）を Secret に
    格納し、セッション Pod にファイルとしてマウント → 起動時に `$HOME/.claude/.credentials.json`
    へコピー（書き込み可能）。セッション内 `claude` が `refreshToken` で自己更新する。
  - `--set-file anthropic.credentialsJson=$HOME/.claude/.credentials.json` で注入。
  - `anthropic.existingSecretKeyCredentials`（既定 `.credentials.json`）で既存 Secret のキー名を指定可。
- **refresher CronJob（`anthropic.refresher`、`credentials` モード時・既定有効）**
  - `files/token-refresher.py`（Python 標準ライブラリのみ）。Secret 内の `refreshToken` で
    OAuth トークンエンドポイントを叩き、新しい `accessToken` / `refreshToken` / `expiresAt` を
    Secret に書き戻す。既定 30 分ごと、残り寿命 1h 未満で更新。
  - 専用 ServiceAccount + Role（**セッション NS の認証情報 Secret 1 個への `get` / `patch` のみ**、
    `resourceNames` で限定）+ RoleBinding。
  - `tokenUrl` / `clientId` は Claude Code CLI の公開値（非公式）。仕様変更時は values で上書き。
    壊れてもセッション内 `claude` の自己更新は独立して機能する。`enabled: false` で無効化。
- Secret に `helm.sh/resource-policy: keep`（`credentials` モード時）。`helm upgrade` で
  `--set-file` を付けない限り refresher が書いた値を Helm が上書きしない。

## 変更

- `anthropic.authMode` の既定を `apiKey` → **`credentials`**。既存の `apiKey` / `oauth` 運用は
  values で明示指定すれば従来どおり。
- `templates/secret-anthropic.yaml` / `deployment.yaml` / `files/manager.py`（`build_pod` の
  認証情報注入分岐）/ `files/session-entrypoint.sh`（seed 処理）/ `values.schema.json` /
  `templates/NOTES.txt` / `examples/loadbalancer-oauth.values.yaml` を更新。

## 修正

- `values.schema.json` の `$schema` に `https://json-schema.org/draft-07/schema#` を指定して
  いたため、一部の Helm バージョンで
  `no schema with key or ref "https://json-schema.org/draft-07/schema#"` エラーが出ていた。
  `$schema` 行を削除（他チャートと同じ・Helm は draft-07 で検証）。

## バージョン

`version` = `2.1.263-b` / `appVersion` = `"2.1.263"`。