Backstage
Backstage 作为 homelab 的只读开发者门户运行。应用源码、插件、测试和镜像构建归
panxiao81/backstage 仓库管理；本目录只保存 Kubernetes/Flux 部署声明，并通过
OCI digest 固定镜像。
外部前置
- OpenBao
kv/k8s/backstage必须包含以下与容器环境变量同名的字段：BACKEND_SECRET、AUTH_SESSION_SECRET、AUTH_OIDC_CLIENT_ID、AUTH_OIDC_CLIENT_SECRET、POSTGRES_PASSWORD、GITEA_TOKEN。 - PostgreSQL 需要在共享集群中预先创建由
backstage角色拥有的backstage数据库；密码必须与 OpenBao 中的POSTGRES_PASSWORD一致。 - Authelia OIDC 客户端回调地址为
https://backstage.ad.ddupan.top/api/auth/oidc/handler/frame。 - AD DNS 需要将
backstage.ad.ddupan.top指向 Envoy Gateway192.168.10.127。
Flux 等待 ExternalSecret 和 Deployment 就绪；任何前置缺失都会使该 Kustomization 保持 NotReady，而不会回退到明文 Secret。
镜像更新
panxiao81/backstage 的 CI 在 main push 后只推送 :latest。
platform/flux-image-automation 跟踪 latest 背后的 digest，由 flux-bot
直接提交到本仓库 main，不经过 PR。deployment.yaml 中 image 行的
$imagepolicy 注释是 setter 标记，删除后自动更新会静默停止。
旧 digest 失去 tag 后会被 zot GC 回收（24h），因此不要把 Deployment 手工固定到
一个已不是 latest 的 digest 并长期保留。