feat: 接入 Instance 原生管理观测与删除保护

docs/database/operations.md

@@ -14,6 +14,13 @@ Database 的 `database.ayatori.ddupan.top/database-protection` 也尚无清理
 
 ## 日常检查
 
+Instance 观察已实现：先确认 manager 配置了 `--database-secret-namespace` 或 `POD_NAMESPACE`，
+再检查 Ready Reason、observedGeneration 与管理 Secret 名称/字段映射，切勿导出其 data。
+`InsufficientPrivileges` 表示当前原生方案要求的非 superuser、CREATEDB/CREATEROLE 不满足；
+`CredentialsChanged` 会丢弃中途轮换的结果并重验；`InstanceInUse` 消息定位阻塞删除的资源。
+Secret 事件立即入队，30 秒重查覆盖 PostgreSQL 权限等没有 Kubernetes 事件的外部变化。
+Instance 删除不要求 PostgreSQL 可达，但必须可读取所有 Database/Tenant 引用。
+
 先看 Instance、Database、Tenant 的 Ready Condition、绑定 UID、阶段与 observedGeneration，
 再核对 PostgreSQL catalog、OpenBao metadata、ExternalSecret 与 Secret 投射状态。
 具体 kubectl 资源名、finalizer 名称与人工确认字段在 API 实现后补齐，不提供猜测的 patch 命令。