fix: keep environment settings out of base deployment

docs/deployment.md

@@ -55,6 +55,9 @@ token 即将过期时重新登录；每次登录重新读取投射的 ServiceAcc
 删除 Instance 或 controller 正常退出时关闭连接池；重启后按需重新读取 Bao。
 仅修改 Bao 中原路径的密码不会触发刷新，管理员需要重启 controller 或修改凭据引用。
 
+基础 manager manifest 不携带 OpenBao 地址、role 等环境值。实际部署通过环境专属
+Kustomize overlay 注入上述 args；E2E 由测试 fixture 注入一次性环境配置。
+
 Tenant 路径固定推导为 `<base-path>/<namespace>/<metadata.name>`。namespace/name 都已通过
 Kubernetes 名称校验，因此不再允许 CR 提供任意路径。KV v2 API URL 使用 consumer
 address 拼为 `<address>/v1/<mount>/data/<base-path>/<namespace>/<metadata.name>`。