diff --git a/.gitea/workflows/manual-deploy.yml b/.gitea/workflows/manual-deploy.yml
index e868350..1bab3ff 100644
--- a/.gitea/workflows/manual-deploy.yml
+++ b/.gitea/workflows/manual-deploy.yml
@@ -36,6 +36,30 @@ jobs:
       - name: Render deployment env
         shell: bash
         run: |
+          BARON_SSO_CLIENT_ID_VALUE='${{ secrets.BARON_SSO_CLIENT_ID }}'
+          if [ -z "$BARON_SSO_CLIENT_ID_VALUE" ]; then BARON_SSO_CLIENT_ID_VALUE='${{ vars.BARON_SSO_CLIENT_ID }}'; fi
+
+          BARON_SSO_AUTHORIZE_ENDPOINT_VALUE='${{ secrets.BARON_SSO_AUTHORIZE_ENDPOINT }}'
+          if [ -z "$BARON_SSO_AUTHORIZE_ENDPOINT_VALUE" ]; then BARON_SSO_AUTHORIZE_ENDPOINT_VALUE='${{ vars.BARON_SSO_AUTHORIZE_ENDPOINT }}'; fi
+
+          BARON_SSO_TOKEN_ENDPOINT_VALUE='${{ secrets.BARON_SSO_TOKEN_ENDPOINT }}'
+          if [ -z "$BARON_SSO_TOKEN_ENDPOINT_VALUE" ]; then BARON_SSO_TOKEN_ENDPOINT_VALUE='${{ vars.BARON_SSO_TOKEN_ENDPOINT }}'; fi
+
+          BARON_SSO_USERINFO_ENDPOINT_VALUE='${{ secrets.BARON_SSO_USERINFO_ENDPOINT }}'
+          if [ -z "$BARON_SSO_USERINFO_ENDPOINT_VALUE" ]; then BARON_SSO_USERINFO_ENDPOINT_VALUE='${{ vars.BARON_SSO_USERINFO_ENDPOINT }}'; fi
+
+          BARON_SSO_ISSUER_VALUE='${{ secrets.BARON_SSO_ISSUER }}'
+          if [ -z "$BARON_SSO_ISSUER_VALUE" ]; then BARON_SSO_ISSUER_VALUE='${{ vars.BARON_SSO_ISSUER }}'; fi
+
+          BARON_SSO_REDIRECT_URI_VALUE='${{ secrets.BARON_SSO_REDIRECT_URI }}'
+          if [ -z "$BARON_SSO_REDIRECT_URI_VALUE" ]; then BARON_SSO_REDIRECT_URI_VALUE='${{ vars.BARON_SSO_REDIRECT_URI }}'; fi
+
+          BARON_SSO_SCOPE_VALUE='${{ secrets.BARON_SSO_SCOPE }}'
+          if [ -z "$BARON_SSO_SCOPE_VALUE" ]; then BARON_SSO_SCOPE_VALUE='${{ vars.BARON_SSO_SCOPE }}'; fi
+
+          BARON_SSO_CLIENT_AUTH_METHOD_VALUE='${{ secrets.BARON_SSO_CLIENT_AUTH_METHOD }}'
+          if [ -z "$BARON_SSO_CLIENT_AUTH_METHOD_VALUE" ]; then BARON_SSO_CLIENT_AUTH_METHOD_VALUE='${{ vars.BARON_SSO_CLIENT_AUTH_METHOD }}'; fi
+
           cat > /tmp/egbim.deploy.env <<EOF
           APP_ENV=${{ secrets.APP_ENV }}
           APP_PORT=${{ secrets.APP_PORT }}
@@ -45,15 +69,15 @@ jobs:
           G5_MYSQL_PASSWORD=${{ secrets.G5_MYSQL_PASSWORD }}
           MARIADB_ROOT_PASSWORD=${{ secrets.MARIADB_ROOT_PASSWORD }}
           COMPOSE_PROJECT_NAME=${{ secrets.COMPOSE_PROJECT_NAME }}
-          BARON_SSO_CLIENT_ID=${{ secrets.BARON_SSO_CLIENT_ID }}
+          BARON_SSO_CLIENT_ID=${BARON_SSO_CLIENT_ID_VALUE}
           BARON_SSO_CLIENT_SECRET=${{ secrets.BARON_SSO_CLIENT_SECRET }}
-          BARON_SSO_AUTHORIZE_ENDPOINT=${{ secrets.BARON_SSO_AUTHORIZE_ENDPOINT }}
-          BARON_SSO_TOKEN_ENDPOINT=${{ secrets.BARON_SSO_TOKEN_ENDPOINT }}
-          BARON_SSO_USERINFO_ENDPOINT=${{ secrets.BARON_SSO_USERINFO_ENDPOINT }}
-          BARON_SSO_ISSUER=${{ secrets.BARON_SSO_ISSUER }}
-          BARON_SSO_REDIRECT_URI=${{ secrets.BARON_SSO_REDIRECT_URI }}
-          BARON_SSO_SCOPE=${{ secrets.BARON_SSO_SCOPE }}
-          BARON_SSO_CLIENT_AUTH_METHOD=${{ secrets.BARON_SSO_CLIENT_AUTH_METHOD }}
+          BARON_SSO_AUTHORIZE_ENDPOINT=${BARON_SSO_AUTHORIZE_ENDPOINT_VALUE}
+          BARON_SSO_TOKEN_ENDPOINT=${BARON_SSO_TOKEN_ENDPOINT_VALUE}
+          BARON_SSO_USERINFO_ENDPOINT=${BARON_SSO_USERINFO_ENDPOINT_VALUE}
+          BARON_SSO_ISSUER=${BARON_SSO_ISSUER_VALUE}
+          BARON_SSO_REDIRECT_URI=${BARON_SSO_REDIRECT_URI_VALUE}
+          BARON_SSO_SCOPE=${BARON_SSO_SCOPE_VALUE}
+          BARON_SSO_CLIENT_AUTH_METHOD=${BARON_SSO_CLIENT_AUTH_METHOD_VALUE}
           EOF
 
       - name: Upload deployment script
diff --git a/DEPLOY_GITEA.md b/DEPLOY_GITEA.md
index 2459948..262cb3f 100644
--- a/DEPLOY_GITEA.md
+++ b/DEPLOY_GITEA.md
@@ -138,17 +138,17 @@ Gitea 저장소 화면에서 아래 순서로 실행한다.
 - `G5_MYSQL_PASSWORD`: 운영 DB 비밀번호
 - `MARIADB_ROOT_PASSWORD`: 운영 MariaDB root 비밀번호
 - `COMPOSE_PROJECT_NAME`: 예) `egbim`
-- `BARON_SSO_CLIENT_ID`: BARON 서버사이드 앱 Client ID
-- `BARON_SSO_CLIENT_SECRET`: BARON 서버사이드 앱 Client Secret
-- `BARON_SSO_AUTHORIZE_ENDPOINT`: `https://app.brsw.kr/oidc/oauth2/auth`
-- `BARON_SSO_TOKEN_ENDPOINT`: `https://app.brsw.kr/oidc/oauth2/token`
-- `BARON_SSO_USERINFO_ENDPOINT`: `https://app.brsw.kr/oidc/userinfo`
-- `BARON_SSO_ISSUER`: `https://app.brsw.kr/oidc`
-- `BARON_SSO_REDIRECT_URI`: 운영 콜백 URL 예) `https://<운영도메인>/auth/callback`
-- `BARON_SSO_SCOPE`: 예) `openid profile email tenants`
-- `BARON_SSO_CLIENT_AUTH_METHOD`: 보통 `basic`, 필요 시 `post`
+- `BARON_SSO_CLIENT_ID`: BARON 서버사이드 앱 Client ID. `변수 관리` 또는 `비밀 관리` 둘 다 가능
+- `BARON_SSO_CLIENT_SECRET`: BARON 서버사이드 앱 Client Secret. `비밀 관리` 권장
+- `BARON_SSO_AUTHORIZE_ENDPOINT`: `https://app.brsw.kr/oidc/oauth2/auth`. `변수 관리` 권장
+- `BARON_SSO_TOKEN_ENDPOINT`: `https://app.brsw.kr/oidc/oauth2/token`. `변수 관리` 권장
+- `BARON_SSO_USERINFO_ENDPOINT`: `https://app.brsw.kr/oidc/userinfo`. `변수 관리` 권장
+- `BARON_SSO_ISSUER`: `https://app.brsw.kr/oidc`. `변수 관리` 권장
+- `BARON_SSO_REDIRECT_URI`: 운영 콜백 URL 예) `https://<운영도메인>/auth/callback`. `변수 관리` 권장
+- `BARON_SSO_SCOPE`: 예) `openid profile email tenants`. `변수 관리` 권장
+- `BARON_SSO_CLIENT_AUTH_METHOD`: 보통 `basic`, 필요 시 `post`. `변수 관리` 권장
 
-이 워크플로는 위 시크릿으로 서버의 `.env` 파일을 생성한 뒤 배포를 수행한다.
+이 워크플로는 위 값들로 서버의 `.env` 파일을 생성한 뒤 배포를 수행한다. BARON 값은 `CLIENT_SECRET` 는 비밀에서, 나머지는 변수 또는 비밀 어디에 있어도 읽도록 처리되어 있다.
 
 필요하면 아래도 수동 실행 입력값으로 바꿀 수 있다.