homelab-infra/infrastructure/shared-postgresql/ayatori/README.md

独立 Ayatori 控制面接入材料

按维护者决定，本目录仅备齐声明，不应用到现有 k3s，不部署 Ayatori。 来源合同为 Ayatori main f4deb98 的 Instance API 与 manager flags。

instances.yaml 注册 prod/dev 两个 cluster-scoped Instance。admin-credentials.yaml 将专用 Bao 路径的 username/password 同步为管理 Secret，不引用含 superuser 密码的实例秘密。 ca.crt 是公开中央 CA；kustomization.yaml 生成 homelab-postgresql-ca ConfigMap。

独立控制面就绪后，由其部署流程完成：

1. 安装 Ayatori CRD 和 ESO，创建 controller namespace（当前预设 ayatori-system）。
2. 创建 namespaced homelab-postgresql-admin SecretStore，使用该控制面的专用身份访问 https://bao.ad.ddupan.top:8200、KV v2 mount kv；权限限于 eso-policy.hcl，不复用部署身份。 auth mount/role 和集群信任绑定须根据真实控制面配置，故此处不虚构可直接应用的 Store。
3. 挂载 homelab-postgresql-ca 的 ca.crt，设置 manager --database-secret-namespace=ayatori-system 与 --database-root-cert=<挂载路径>/ca.crt。 namespace 有变更时同步修改 kustomization、SecretStore 和 manager 参数。
4. 渲染并审查 kubectl kustomize <本目录>，确认目标 kubecontext 为独立控制面后应用。
5. 等待两个 ExternalSecret 同步和两个 Instance Ready；不要将本文 SQL/TLS 验证当作 controller Ready。

首次独立管理凭据由 ansible/ayatori-credentials.yml CAS=0 创建；重复执行只核对已有值， 不自动轮换密码。控制器完整 Database/Tenant 供应链路仍按 Ayatori 自身实施与验收。