dongmin0204 · Sep 22, 2026 · Sep 21, 2026 · coderabbitai · Sep 21, 2026
diff --git a/config-server/Chart/templates/_helpers.tpl b/config-server/Chart/templates/_helpers.tpl
@@ -29,6 +29,10 @@ API 서버(deployment.yaml)와 제어기(controller.yaml)가 공유하는 환경
   value: "{{ .Values.accounts.uidMin }}"
 - name: UID_MAX
   value: "{{ .Values.accounts.uidMax }}"
+- name: SHARED_GID_MIN
+  value: "{{ .Values.accounts.sharedGidMin }}"
+- name: SHARED_GID_MAX
+  value: "{{ .Values.accounts.sharedGidMax }}"
 - name: ACCOUNT_PREFIX
   value: "{{ .Values.accounts.prefix }}"
 - name: NODEPORT_MIN

diff --git a/config-server/Chart/values.yaml b/config-server/Chart/values.yaml
@@ -58,6 +58,9 @@ infra:
 accounts:
   uidMin: 20000
   uidMax: 0
+  # 공용(팀) 그룹 gid 대역. 개인 그룹은 gid=uid라 uid 대역을 쓰므로 여기와 겹치면 안 된다.
+  sharedGidMin: 70000
+  sharedGidMax: 0
   # 이 접두어로 시작하는 계정만 받는다. 실험 스택 전용, 운영은 비워 둔다.
   prefix: ""
 

diff --git a/config-server/lifecycle_steps/provision.py b/config-server/lifecycle_steps/provision.py
@@ -1397,12 +1397,18 @@ def step_create_account(ctx):
             content = f.read()
             g_lines = content.splitlines()
 
-            # primary group
-            primary_exists = any(
-                (_main.parse_group_line(gl) or {}).get("gid") == gid or
-                (_main.parse_group_line(gl) or {}).get("name") == pg_name
-                for gl in g_lines
-            )
+            # primary group — 공용 gid 대역을 떼어낸 뒤로 uid 대역의 group 줄은 이 사용자의 개인
+            # 그룹뿐이다. 이름·gid 중 한쪽만 맞는 줄은 원장이 깨진 것이므로 조용히 재사용하지 않고
+            # 아래 except 의 GROUP_WRITE_FAILED + 롤백 경로로 보낸다(#148).
+            primary_exists = False
+            for gl in g_lines:
+                rec = _main.parse_group_line(gl)
+                if not rec or (rec["gid"] != gid and rec["name"] != pg_name):
+                    continue
+                if rec["gid"] != gid or rec["name"] != pg_name:
+                    raise RuntimeError(
+                        f"primary group conflict: existing {rec['name']}:{rec['gid']} vs {pg_name}:{gid}")
+                primary_exists = True
             if not primary_exists:
                 g_lines.append(_main.format_group_entry({"name": pg_name, "passwd": "x", "gid": gid, "members": []}))
 

diff --git a/config-server/main.py b/config-server/main.py
@@ -83,6 +83,11 @@
 # UID/GID 대역 — AD uidNumber와 NAS 홈 소유권은 스택이 달라도 공유되므로 대역이 겹치면 안 된다.
 UID_MIN = int(os.getenv("UID_MIN", "20000"))
 UID_MAX = int(os.getenv("UID_MAX", "0")) or None
+# 공용(팀) 그룹 gid 대역 — 개인 그룹은 gid=uid라 uid 대역을 쓴다. 두 할당기가 같은 대역을 나눠
+# 쓰면 공용 그룹이 다음 uid 번호를 선점해 그 계정의 primary 그룹이 남의 팀 그룹이 된다(#148).
+# 대역을 떼면 충돌이 구조적으로 생기지 않는다. AD·NAS를 스택끼리 공유하므로 여기도 스택별로 나눈다.
+SHARED_GID_MIN = int(os.getenv("SHARED_GID_MIN", "70000"))
+SHARED_GID_MAX = int(os.getenv("SHARED_GID_MAX", "0")) or None
 # 사용자 Pod NodePort 대역 — 클러스터 전체에서 공유되므로 스택끼리 같은 순간 같은 포트를 고르지 않게 나눈다.
 NODEPORT_MIN = int(os.getenv("NODEPORT_MIN", "30000"))
 NODEPORT_MAX = int(os.getenv("NODEPORT_MAX", "32767"))
@@ -845,9 +850,12 @@ def add_group(body: AddGroupRequest):
             return jsonify(infra_error("ADD_GROUP", "GROUP_NAME_EXISTS", f"group already exists (name: {name})")), 409
 
         if gid is None:
-            gid = _allocate_next_gid(g_lines, min_gid=UID_MIN)
-            if UID_MAX is not None and gid > UID_MAX:
-                return jsonify(infra_error("ADD_GROUP", "GID_RANGE_EXHAUSTED", f"gid range {UID_MIN}~{UID_MAX} exhausted")), 500
+            gid = _allocate_next_gid(g_lines, min_gid=SHARED_GID_MIN)
+            if SHARED_GID_MAX is not None and gid > SHARED_GID_MAX:
+                return jsonify(infra_error("ADD_GROUP", "GID_RANGE_EXHAUSTED", f"gid range {SHARED_GID_MIN}~{SHARED_GID_MAX} exhausted")), 500
+        elif gid < SHARED_GID_MIN or (SHARED_GID_MAX is not None and gid > SHARED_GID_MAX):
+            # 호출자가 gid를 직접 주는 경로 — 개인 그룹 대역(=uid 대역)을 침범하면 여기서 막는다.
+            return jsonify(infra_error("ADD_GROUP", "GID_OUT_OF_RANGE", f"gid {gid} outside shared gid range {SHARED_GID_MIN}~{SHARED_GID_MAX}")), 400
         elif any((parse_group_line(gl) or {}).get("gid") == gid for gl in g_lines):
             return jsonify(infra_error("ADD_GROUP", "GROUP_GID_EXISTS", f"group already exists (gid: {gid})")), 409
 

diff --git a/config-server/tests/test_gid_band.py b/config-server/tests/test_gid_band.py
@@ -0,0 +1,66 @@
+"""#148 공용 gid 대역 분리 — 개인 그룹(gid=uid)과 팀 그룹이 같은 번호를 두고 다투지 않는지."""
+import pytest
+
+import main
+from lifecycle_steps import provision
+
+
+@pytest.fixture
+def etc(tmp_path, monkeypatch):
+    """계정 원장을 임시 폴더의 실제 파일로 바꾼다(test_e2e_virtual.py와 같은 방식).
+    반환한 함수로 passwd/group 초기 내용을 넣는다."""
+    base = str(tmp_path / "etc")
+    for k, val in list(main.app.config.items()):
+        if isinstance(val, str) and val.startswith(main.BASE_ETC_DIR):
+            monkeypatch.setitem(main.app.config, k, base + val[len(main.BASE_ETC_DIR):])
+    monkeypatch.setattr(main, "UID_MIN", 21000)
+    monkeypatch.setattr(main, "UID_MAX", 49999)
+    monkeypatch.setattr(main, "SHARED_GID_MIN", 70000)
+    monkeypatch.setattr(main, "SHARED_GID_MAX", 79999)
+    with main.app.app_context():        # utils 의 app.config 는 current_app 프록시다
+        main.ensure_etc_layout()
+
+        def seed(passwd=(), group=()):
+            main.write_passwd_lines(main.read_passwd_lines() + list(passwd))
+            main.write_group_lines(main.read_group_lines() + list(group))
+        yield seed
+
+
+def _gids():
+    return {r["name"]: r["gid"] for l in main.read_group_lines() if (r := main.parse_group_line(l))}
+
+
+def test_new_group_gets_first_shared_band_number(etc, api):
+    etc(group=["yoon6yo:x:21000:"])          # uid 대역의 개인 그룹은 후보가 되면 안 된다
+    r = api.post("/groups", json={"name": "teamx"})
+    assert r.status_code == 201 and r.get_json()["group"]["gid"] == 70000
+
+
+def test_explicit_gid_must_be_inside_shared_band(etc, api):
+    etc()
+    r = api.post("/groups", json={"name": "teamx", "gid": 21003})
+    assert r.status_code == 400 and r.get_json()["error"] == "GID_OUT_OF_RANGE"
+
+    r = api.post("/groups", json={"name": "teamx", "gid": 70001})
+    assert r.status_code == 201 and _gids()["teamx"] == 70001
+
+
+def test_shared_group_does_not_steal_the_next_uid(etc):
+    etc(passwd=["yoon6yo:x:21000:21000::/home/yoon6yo:/bin/bash",
+                "csuhyeon:x:21001:21001::/home/csuhyeon:/bin/bash",
+                "dongmin0204:x:21002:21002::/home/dongmin0204:/bin/bash"],
+        group=["yoon6yo:x:21000:", "csuhyeon:x:21001:", "dongmin0204:x:21002:",
+               "testgroup:x:70000:yoon6yo"])
+    assert provision._allocate_next_uid(main.read_passwd_lines(), min_uid=21000) == 21003
+    assert provision._allocate_next_gid(main.read_group_lines(), min_gid=70000) == 70001
+
+
+def test_primary_group_name_collision_fails_and_rolls_back(etc, logs):
+    etc(passwd=["yoon6yo:x:21000:21000::/home/yoon6yo:/bin/bash"],
+        group=["yoon6yo:x:21000:", "newbie:x:21099:"])   # 이름만 같고 gid가 다른 줄
+    ctx = {"request_id": "r1", "name": "newbie", "pg_name": "newbie",
+           "supp_groups": [], "gecos": "", "plaintext_pw": "pw"}
+    with pytest.raises(main.StepFailed):
+        provision.step_create_account(ctx)
+    assert "newbie" not in {r["name"] for l in main.read_passwd_lines() if (r := main.parse_passwd_line(l))}
+    assert [r["error_code"] for r in logs if r.get("phase") == main.Phase.FAIL] == ["GROUP_WRITE_FAILED"]
diff --git a/ops/proposed-stack/stack-up.sh b/ops/proposed-stack/stack-up.sh
@@ -37,6 +37,8 @@ STACK_LINE=$(grep -E "^- \{stack: $STACK, " "$RANGES_FILE") || true
 [ -n "$STACK_LINE" ] || { echo "알 수 없는 스택: $STACK ($RANGES_FILE에 선언 없음)"; exit 2; }
 UID_MIN=$(yaml_field "$STACK_LINE" uid_min)
 UID_MAX=$(yaml_field "$STACK_LINE" uid_max)
+SHARED_GID_MIN=$(yaml_field "$STACK_LINE" shared_gid_min)
+SHARED_GID_MAX=$(yaml_field "$STACK_LINE" shared_gid_max)
 NP_MIN=$(yaml_field "$STACK_LINE" np_min)
 NP_MAX=$(yaml_field "$STACK_LINE" np_max)
 CONFIG_NODEPORT=$(yaml_field "$STACK_LINE" config_nodeport)
@@ -45,17 +47,27 @@ PREFIX=$(yaml_field "$STACK_LINE" prefix)
 # 422로 거부된다(2026-09-18 e2e 점검 중 실측으로 발견) — 배포가 한참 진행된 뒤에야 드러나므로
 # 여기서 미리 막는다.
 { [ "$NP_MIN" -ge 30000 ] && [ "$NP_MAX" -le 32767 ]; } || { echo "NodePort 대역 $NP_MIN~$NP_MAX 이 쿠버네티스 허용 범위(30000~32767) 밖임"; exit 1; }
+# 개인 그룹은 gid=uid라 uid 대역이 곧 개인 그룹 gid 대역이다 — 자기 스택 안에서 둘이 겹치면
+# 공용 그룹이 다음 uid 번호를 선점할 수 있다(#148).
+{ [ "$SHARED_GID_MIN" -gt "$UID_MAX" ] || [ "$SHARED_GID_MAX" -lt "$UID_MIN" ]; } || { echo "공용 GID 대역 $SHARED_GID_MIN~$SHARED_GID_MAX 이 자기 UID 대역 $UID_MIN~$UID_MAX 과 겹침"; exit 1; }
 # 다른 스택과 대역이 겹치는지 선언 파일 안에서만 비교한다(형제 스택이 지금 떠 있는지와 무관 —
 # 배포 상태에 의존하는 실시간 조회는 신뢰할 수 없어 기각했다, admin_infra-proposed#118).
 while IFS= read -r OTHER_LINE; do
   case "$OTHER_LINE" in "- {stack:"*) ;; *) continue ;; esac
   OTHER_STACK=$(yaml_field "$OTHER_LINE" stack)
   [ "$OTHER_STACK" = "$STACK" ] && continue
   O_UID_MIN=$(yaml_field "$OTHER_LINE" uid_min); O_UID_MAX=$(yaml_field "$OTHER_LINE" uid_max)
+  O_SG_MIN=$(yaml_field "$OTHER_LINE" shared_gid_min); O_SG_MAX=$(yaml_field "$OTHER_LINE" shared_gid_max)
   O_NP_MIN=$(yaml_field "$OTHER_LINE" np_min); O_NP_MAX=$(yaml_field "$OTHER_LINE" np_max)
   if [ "$UID_MIN" -le "$O_UID_MAX" ] && [ "$UID_MAX" -ge "$O_UID_MIN" ]; then
     echo "UID 대역이 $OTHER_STACK 과 겹침: $UID_MIN~$UID_MAX vs $O_UID_MIN~$O_UID_MAX"; exit 1
   fi
+  if [ "$SHARED_GID_MIN" -le "$O_SG_MAX" ] && [ "$SHARED_GID_MAX" -ge "$O_SG_MIN" ]; then
+    echo "공용 GID 대역이 $OTHER_STACK 과 겹침: $SHARED_GID_MIN~$SHARED_GID_MAX vs $O_SG_MIN~$O_SG_MAX"; exit 1
+  fi
+  if [ "$SHARED_GID_MIN" -le "$O_UID_MAX" ] && [ "$SHARED_GID_MAX" -ge "$O_UID_MIN" ]; then
+    echo "공용 GID 대역이 $OTHER_STACK 의 UID 대역과 겹침: $SHARED_GID_MIN~$SHARED_GID_MAX vs $O_UID_MIN~$O_UID_MAX"; exit 1
+  fi
-  if [ "$SHARED_GID_MIN" -le "$O_UID_MAX" ] && [ "$SHARED_GID_MAX" -ge "$O_UID_MIN" ]; then
-    echo "공용 GID 대역이 $OTHER_STACK 의 UID 대역과 겹침: $SHARED_GID_MIN~$SHARED_GID_MAX vs $O_UID_MIN~$O_UID_MAX"; exit 1
-  fi
+  if [ "$UID_MIN" -le "$O_SG_MAX" ] && [ "$UID_MAX" -ge "$O_SG_MIN" ]; then
+    echo "UID 대역이 $OTHER_STACK 의 공용 GID 대역과 겹침: $UID_MIN~$UID_MAX vs $O_SG_MIN~$O_SG_MAX"; exit 1
+  fi
+  if [ "$SHARED_GID_MIN" -le "$O_UID_MAX" ] && [ "$SHARED_GID_MAX" -ge "$O_UID_MIN" ]; then
+    echo "공용 GID 대역이 $OTHER_STACK 의 UID 대역과 겹침: $SHARED_GID_MIN~$SHARED_GID_MAX vs $O_UID_MIN~$O_UID_MAX"; exit 1
+  fi
-  if [ "$SHARED_GID_MIN" -le "$O_UID_MAX" ] && [ "$SHARED_GID_MAX" -ge "$O_UID_MIN" ]; then
-    echo "공용 GID 대역이 $OTHER_STACK 의 UID 대역과 겹침: $SHARED_GID_MIN~$SHARED_GID_MAX vs $O_UID_MIN~$O_UID_MAX"; exit 1
-  fi
+  if [ "$UID_MIN" -le "$O_SG_MAX" ] && [ "$UID_MAX" -ge "$O_SG_MIN" ]; then
+    echo "UID 대역이 $OTHER_STACK 의 공용 GID 대역과 겹침: $UID_MIN~$UID_MAX vs $O_SG_MIN~$O_SG_MAX"; exit 1
+  fi
+  if [ "$SHARED_GID_MIN" -le "$O_UID_MAX" ] && [ "$SHARED_GID_MAX" -ge "$O_UID_MIN" ]; then
+    echo "공용 GID 대역이 $OTHER_STACK 의 UID 대역과 겹침: $SHARED_GID_MIN~$SHARED_GID_MAX vs $O_UID_MIN~$O_UID_MAX"; exit 1
+  fi
   if [ "$NP_MIN" -le "$O_NP_MAX" ] && [ "$NP_MAX" -ge "$O_NP_MIN" ]; then
     echo "NodePort 대역이 $OTHER_STACK 과 겹침: $NP_MIN~$NP_MAX vs $O_NP_MIN~$O_NP_MAX"; exit 1
   fi
@@ -299,6 +311,7 @@ helm upgrade --install "$RELEASE" "$ROOT/config-server/Chart" -n "$NS" -f "$BASE
   --set nfs.kubeSharePath="$STACK_KUBE_SHARE" \
   --set infra.adminBeInternalUrl="http://admin-prod.$NS" \
   --set accounts.uidMin="$UID_MIN" --set accounts.uidMax="$UID_MAX" --set accounts.prefix="$PREFIX" \
+  --set accounts.sharedGidMin="$SHARED_GID_MIN" --set accounts.sharedGidMax="$SHARED_GID_MAX" \
   --set nodeport.min="$NP_MIN" --set nodeport.max="$NP_MAX" \
   --set verifyMode="$VERIFY_MODE" \
   --set redis.host="redis-bg-master.$NS.svc.cluster.local" \
@@ -650,6 +663,7 @@ if [ -n "$FE_IMAGE" ]; then
   echo "화면              http://$FE_HOST:30081"
 fi
 echo "UID 대역          $UID_MIN~$UID_MAX"
+echo "공용 GID 대역     $SHARED_GID_MIN~$SHARED_GID_MAX"
 echo "NodePort 대역     $NP_MIN~$NP_MAX"
 echo "테스트 계정 접두어 $PREFIX"
 echo "VERIFY_MODE       $VERIFY_MODE"
diff --git a/ops/proposed-stack/uid-ranges.yaml b/ops/proposed-stack/uid-ranges.yaml
@@ -9,14 +9,22 @@
 # - 구 운영 실계정이 20000~20017에 몰려 있어(직접 조회로 확인) UID_MIN=20000도 충돌
 # - NodePort 33000~34999로 잡았는데 이 클러스터 쿠버네티스 API 서버의 실제 허용 범위가
 #   기본값인 30000~32767뿐이라 그 밖의 값은 서비스 생성이 422로 거부됨(2026-09-18 e2e 점검 중 발견)
+# - 공용 그룹 gid를 uid와 같은 할당기·같은 대역에서 뽑아 운영 원장에 testgroup:21003 이 생겼고,
+#   다음 배정될 uid도 21003이었다. 그 상태로 계정 하나만 더 승인했으면 그 사용자의 primary 그룹이
+#   testgroup이 됐다(2026-09-21 운영 원장 실조회로 발견, #148 — 공용 gid 대역 분리로 수정)
 # - operation 대역을 30500~31999로 잡았는데 pfSense가 외부로 여는 구간은 30000~30097뿐이라
 #   (210.94.179.19:9300-9397 → farm6:30000-30097) 안내한 주소로 접속이 되지 않음. admin_be의
 #   toFarmPublicPort도 offset<98일 때만 공인 포트로 바꾸므로 변환 없이 NodePort 번호가 그대로
 #   안내됐다. 내부는 정상이라 실패가 드러나지 않는다(2026-09-19 외부망 실측으로 확인)
 #
 # 필드:
 #   uid_min/uid_max       — Linux/AD 계정 UID 대역. 실제 계정은 같은 farm 노드 OS에 만들어지므로
-#                            스택마다 원장이 격리돼 있어도 겹치면 안 된다.
+#                            스택마다 원장이 격리돼 있어도 겹치면 안 된다. 개인 그룹은 gid=uid이므로
+#                            이 대역은 개인 그룹 gid 대역이기도 하다.
+#   shared_gid_min/max     — 공용(팀) 그룹 gid 대역. uid 대역과 떼어 놓는다 — 한 대역을 두 할당기가
+#                            나눠 쓰면 공용 그룹이 다음 uid 번호를 선점해 그 계정의 primary 그룹이
+#                            남의 팀 그룹이 된다. AD·NAS 공유는 uid와 같으므로 스택별로도 나눈다.
+#                            전 구간이 farm smb.conf 의 idmap range(1000-299999) 안이어야 한다.
 #   np_min/np_max          — 사용자 컨테이너 NodePort 대역. 반드시 30000~32767 안이어야 하고
 #                            (이 클러스터 쿠버네티스 API 서버의 실제 허용 범위), 사용자가 외부에서
 #                            접속해야 하는 스택은 pfSense 개방 구간 30000~30097 안이어야 한다.
@@ -32,7 +40,7 @@
 # 엔드포인트가 하나도 없고 참조하는 Pod도 모두 사라진 것을 확인한 뒤 2026-09-19에 회수했다.
 # 아직 남아 있는 구 운영 Service(30021~30030, 30033, 30034)와 인프라 고정 포트는 config-server의
 # get_cluster_reserved_nodeports()가 클러스터를 실조회해 자동으로 건너뛰므로 여기서 뺄 필요가 없다.
-- {stack: baseline,  uid_min: 60000, uid_max: 64999, np_min: 32500, np_max: 32749, config_nodeport: 30382, prefix: "exp-bl-"}
-- {stack: noprobe,   uid_min: 50000, uid_max: 54999, np_min: 32000, np_max: 32249, config_nodeport: 30182, prefix: "exp-np-"}
-- {stack: full,      uid_min: 55000, uid_max: 59999, np_min: 32250, np_max: 32499, config_nodeport: 30282, prefix: "exp-fu-"}
-- {stack: operation, uid_min: 21000, uid_max: 49999, np_min: 30000, np_max: 30079, config_nodeport: 30482, prefix: ""}
+- {stack: baseline,  uid_min: 60000, uid_max: 64999, shared_gid_min: 90000, shared_gid_max: 94999, np_min: 32500, np_max: 32749, config_nodeport: 30382, prefix: "exp-bl-"}
+- {stack: noprobe,   uid_min: 50000, uid_max: 54999, shared_gid_min: 80000, shared_gid_max: 84999, np_min: 32000, np_max: 32249, config_nodeport: 30182, prefix: "exp-np-"}
+- {stack: full,      uid_min: 55000, uid_max: 59999, shared_gid_min: 85000, shared_gid_max: 89999, np_min: 32250, np_max: 32499, config_nodeport: 30282, prefix: "exp-fu-"}
+- {stack: operation, uid_min: 21000, uid_max: 49999, shared_gid_min: 70000, shared_gid_max: 79999, np_min: 30000, np_max: 30079, config_nodeport: 30482, prefix: ""}