CHANGELOG.md

@@ -26,6 +26,7 @@ What changed in this homelab, when, and why. Newest first.
 | Helm adoption stage | 为 `gitea-actions` 加入固定 chart `0.1.1` 的 HelmRepository、values ConfigMap 和 `suspend: true` HelmRelease；第一阶段只让 Flux 登记对象，确认 source 与固定 chart render 后再解除 suspend，失败策略使用 `RetryOnFailure` 以避免回滚到 stored rootless manifest |
 | Helm adoption activate | 第一阶段合并后 Flux source 与子 Kustomization 均 Ready，Helm release 仍为 revision 1，runner Pod 未 rollout；再次确认固定 chart 的完整 render 对 live 集群为零差异后，第二阶段移除 `suspend`，允许 Flux 修正 Helm 存储状态并开始 drift detection |
 | Gitea adoption stage | 开始用 Flux 接管关键 `gitea` release：固定现有 chart `12.5.3`，以 `suspend: true` 登记 HelmRelease、source、values ConfigMap 和现有 HTTPRoute，子 Kustomization 保持 `prune: false`；现有 OIDC Secret 继续只引用不覆盖，其尚未进入 OpenBao/ESO 的缺口独立跟踪 |
+| Gitea adoption activate | 第一阶段合并后 source、子 Kustomization 和 HTTPRoute 均 Ready，Helm release 仍为 revision 14，Gitea Pod 未重建或重启；再次确认固定 chart 对 live 业务资源零差异后移除 `suspend`，允许 Flux 修正 Helm 存储状态并启用 drift detection |
 
 `Carried forward`: complete the two-stage zero-change `gitea` HelmRelease
 adoption, migrate its remaining manual OIDC Secret to OpenBao/ESO, then upgrade

apps/gitea/README.md

@@ -8,8 +8,10 @@ Envoy Gateway HTTPRoute 提供。Helm chart 自带的无 class Ingress 暂时保
 
 现有 release 是 `gitea-12.5.3`（Gitea `1.25.5`）。接管分为两个 PR：第一阶段创建
 固定版本且 `suspend: true` 的 HelmRelease，只让 Flux 登记对象；确认 source Ready
-并重新验证完整 chart render 后，第二阶段才解除 suspend。子 Kustomization 和集群
-root 均保持 `prune: false`。
+并重新验证完整 chart render 后，第二阶段解除 suspend。第一阶段已经确认 source、
+子 Kustomization 和 HTTPRoute 均 Ready，Helm revision 与 Gitea Pod 未变化；第二次
+live diff 仍只有不常驻的 test hook Pod。子 Kustomization 和集群 root 均保持
+`prune: false`。
 
 数据库密码已经由 External Secrets Operator 从 OpenBao 投射到 `gitea-db`。OIDC
 client secret 仍是历史手工 Secret `gitea-oidc-secret`，本次接管只引用、不覆盖它；

apps/gitea/helmrelease.yaml

@@ -20,7 +20,6 @@ spec:
       retryInterval: 5m
   interval: 30m
   releaseName: gitea
-  suspend: true
   targetNamespace: gitea
   timeout: 15m
   upgrade: