docs: 纠正 controller 认证的 Pod 部署假设

services/postgresql-tenant-operator.md

@@ -170,13 +170,18 @@ Database 供应或 ESO。源码模块文档与 wiki 已关联，见
 
 Kubernetes 认证会话的后续实现位于
 [PR #13](https://git.ddupan.top/panxiao81/ayatori/pulls/13)，提交
-[dcf9ab5](https://git.ddupan.top/panxiao81/ayatori/commit/dcf9ab50dffab2740b1801a560d47b1a857374b1)，尚未合并。
-使用官方 SDK 登录与 LifetimeWatcher，不自行实现续期算法；重新登录重读指定 SA token，
-缺失或空文件不回退其他身份，续期失败及停止时清空本地 token。真实 envtest/OpenBao 测试
-验证 TokenReview、续期、撤销恢复与 namespace/audience 拒绝，三轮 race、本地全量测试和
-两种 lint 通过。manager 配置、生命周期/健康检查装配与生产 auth 配置仍未接入，不代表已部署。
+[f0aa86f](https://git.ddupan.top/panxiao81/ayatori/commit/f0aa86f67673fbfb5f182f3ce35679c614be968d)，尚未合并。
+维护者指出并纠正了首版的 Pod 文件假设：controller 可以是 systemd service；Kubernetes auth
+仍是正确路径，但应复用 manager 的标准 kubeconfig/in-cluster 配置，通过 RBAC 授权的指定
+ServiceAccount TokenRequest 申请短期 JWT。集群内外共用同一客户端路径，不另建机器身份。
+重新登录重新申请 JWT，申请失败不回退投射文件或静态 token；官方 SDK 负责 Bao 登录与
+LifetimeWatcher，续期失败及停止时清空本地 token。kubeconfig 的签发、更新与撤销属于部署管理。
+manager 已增加显式 HTTPS/CA、auth role、目标 SA/audience 配置、Runnable 与 readiness，
+默认停用；controller 不自动创建身份或授予权限。真实受限 kubeconfig 启动 manager 的测试
+验证 TokenRequest、续期、跨 namespace/其他 SA 拒绝、RBAC 撤回恢复与 Bao audience 校验，
+三轮 race、本地全量测试和两种 lint 通过。生产 auth 配置与 Database 供应尚未接入，不代表已部署。
 具体使用边界见该提交的
-[认证会话说明](https://git.ddupan.top/panxiao81/ayatori/src/commit/dcf9ab50dffab2740b1801a560d47b1a857374b1/docs/database/README.md#openbao-kubernetes-认证会话)。
+[认证会话说明](https://git.ddupan.top/panxiao81/ayatori/src/commit/f0aa86f67673fbfb5f182f3ce35679c614be968d/docs/database/README.md#openbao-kubernetes-认证会话)。
 
 - operator 管理实例内的租户资源，不运行 PostgreSQL/OpenBao，也不管理 VM、存储、备份或 OpenBao PKI。
 - 应用密码写入 OpenBao，不进入 CR、Event 或日志；ESO 负责向 Kubernetes 消费者投射。

verification.md

@@ -111,10 +111,13 @@ controller、目标固定、finalizer 保留与生成 RBAC，真实 API server
 维护者批准后合并 [PR #12](https://git.ddupan.top/panxiao81/ayatori/pulls/12)，合并提交
 [22ab72e](https://git.ddupan.top/panxiao81/ayatori/commit/22ab72ec60dd5a0bf852e4563e107597dd56e81f)。
 后续 Kubernetes 认证与短期会话续期已提交为
-[dcf9ab5](https://git.ddupan.top/panxiao81/ayatori/commit/dcf9ab50dffab2740b1801a560d47b1a857374b1)，
+[f0aa86f](https://git.ddupan.top/panxiao81/ayatori/commit/f0aa86f67673fbfb5f182f3ce35679c614be968d)，
 由 [PR #13](https://git.ddupan.top/panxiao81/ayatori/pulls/13) 跟踪 CI 与 review。
-本地全量测试、三轮真实 OpenBao/TokenReview race 测试及两种 lint 通过；源码模块文档与 wiki
-已同步边界和正式链接。认证尚未合并或装配到 manager，不把本地验证等同于远端 CI 或服务上线。
+首版依赖投射 SA 文件的假设已按维护者意见撤除：集群外 kubeconfig 与集群内配置共用 manager
+客户端，通过受限 TokenRequest 获取登录 JWT。manager 显式配置、Runnable 与 readiness 已装配；
+三轮真实 API/OpenBao race、本地全量测试与两种 lint 通过，覆盖 RBAC 撤回/恢复和越权拒绝。
+源码文档与 wiki 已同步边界和正式链接。认证尚未合并，不把本地验证等同于新 head 的远端 CI；
+未部署生产 auth/RBAC，也未接入 Database 供应或 ESO 交付。
 
 ## 2026-09-25 sandbox 存储故障复盘的来源边界