GitHub ActionsからWorkload Identityで鍵なしデプロイすると、CDのterraform initが403で落ちる。原因は新しいリポジトリでOIDCのsubに数値IDが入ったこと。直し方と、plan用とapply用にSAを分けた判断、手元だけ通るSERVICE_DISABLEDも解説する。