feat: 引导 sandbox 跨集群 SPIRE 认证

clusters/sandbox/README.md

@@ -21,6 +21,15 @@ Root bootstrap 已完成。后续按依赖顺序分别引入：
 第一阶段监控拆为 `monitoring-operator` 与依赖它的 `monitoring`，防止 VM CR 在
 VictoriaMetrics Operator CRD Ready 前进入 reconciliation。
 
+SPIRE 阶段先由 `spire-bootstrap` 安装 CRD，并声明只允许 `tokenreviews.create` 的
+central Server reviewer。Agent ServiceAccount 留给后续 HelmRelease 创建，避免两个
+声明方争夺同一资源。随后运行
+`infrastructure/sandbox-cluster/ansible/spire-bootstrap.yml`：playbook 从 sandbox
+读取 reviewer token，在内存中组成受限 kubeconfig，再通过 stdin reconcile 到 central
+集群的 `spire-server/spire-external-kubeconfigs` Secret。凭据不写入仓库、日志或控制机
+文件；该 Secret 准备完成后，才能启用 central external PSAT/controller-manager 和
+sandbox Agent/CSI。
+
 ## 监控边界
 
 这里只管理 sandbox LXC 内的 Kubernetes 监控，不负责 PVE 宿主监控。LXC 与宿主共享

clusters/sandbox/apps/spire-bootstrap.yaml

@@ -0,0 +1,15 @@
+---
+apiVersion: kustomize.toolkit.fluxcd.io/v1
+kind: Kustomization
+metadata:
+  name: spire-bootstrap
+  namespace: flux-system
+spec:
+  interval: 10m
+  path: ./platform/sandbox-spire/bootstrap
+  prune: true
+  sourceRef:
+    kind: GitRepository
+    name: flux-system
+  timeout: 10m
+  wait: true

clusters/sandbox/kustomization.yaml

@@ -4,3 +4,4 @@ kind: Kustomization
 resources:
   - apps/monitoring-operator.yaml
   - apps/monitoring.yaml
+  - apps/spire-bootstrap.yaml