diff --git a/config/manager/manager.yaml b/config/manager/manager.yaml
index 602c828..139304b 100644
--- a/config/manager/manager.yaml
+++ b/config/manager/manager.yaml
@@ -63,9 +63,6 @@ spec:
         args:
           - --leader-elect
           - --health-probe-bind-address=:8081
-          - --openbao-address=https://openbao.openbao.svc:8200
-          - --openbao-auth-role=postgresql-tenant-operator
-          - --external-secret-store-name=openbao
         image: controller:latest
         name: manager
         ports:
diff --git a/docs/deployment.md b/docs/deployment.md
index dafd8bc..b5dfa80 100644
--- a/docs/deployment.md
+++ b/docs/deployment.md
@@ -55,6 +55,9 @@ token 即将过期时重新登录；每次登录重新读取投射的 ServiceAcc
 删除 Instance 或 controller 正常退出时关闭连接池；重启后按需重新读取 Bao。
 仅修改 Bao 中原路径的密码不会触发刷新，管理员需要重启 controller 或修改凭据引用。
 
+基础 manager manifest 不携带 OpenBao 地址、role 等环境值。实际部署通过环境专属
+Kustomize overlay 注入上述 args；E2E 由测试 fixture 注入一次性环境配置。
+
 Tenant 路径固定推导为 `<base-path>/<namespace>/<metadata.name>`。namespace/name 都已通过
 Kubernetes 名称校验，因此不再允许 CR 提供任意路径。KV v2 API URL 使用 consumer
 address 拼为 `<address>/v1/<mount>/data/<base-path>/<namespace>/<metadata.name>`。