docs: define Instance domain model and admin Secret boundary

docs/architecture.md

@@ -35,9 +35,13 @@ controller 不运行 PostgreSQL/OpenBao，不管理 VM、存储、备份或 Open
 ## 资源模型
 
 `PostgreSQLInstance` 是 cluster-scoped，由平台管理员创建，描述外部 PostgreSQL 的
-DNS host、IP host address、端口、管理 database、TLS 模式、OpenBao 管理凭据引用和
+DNS host、IP host address、端口、管理 database、TLS 模式、管理 Secret 引用和
 extension allowlist。
 
+管理连接使用管理员维护的 ExternalSecret 经 ESO 同步到 controller namespace 的
+Secret；Instance 只选择 Secret 名称与字段，controller 只读，不直接从 Bao 获取
+管理凭据。Tenant 凭据的创建、读取与销毁仍由 controller 直接访问 Bao。
+
 `PostgreSQLTenant` 是 namespaced。一个 Tenant 对应一个 database、一个同时作为 owner
 的 login role、一组只允许追加的 extension、一个由 controller 推导的 OpenBao KV
 记录，以及同 namespace 的 ExternalSecret 和目标 Secret。