Add frontend HelmRelease to d8-ugmk-prod and configure Istio route for s3-proxy in Istio config

apps/pm/d8-ugmk-prod/frontend.yaml

@@ -0,0 +1,22 @@
+---
+# Патч frontend для контура УГМК.
+#
+# ВНИМАНИЕ: тег обязан быть contour_*, НЕ production_*.
+# Сборка prod-варианта тянет remoteEntry.js модулей с https://modules.sarex.io,
+# который в закрытом контуре недоступен (configWebpack/config/endpoints.ts).
+# В contour-сборке пути к remoteEntry относительные — только она здесь работает.
+apiVersion: helm.toolkit.fluxcd.io/v2
+kind: HelmRelease
+metadata:
+  name: frontend
+  namespace: pm
+spec:
+  values:
+    services:
+      frontend:
+        # TODO(Дмитрий): подставить тег новой contour-сборки, когда pipeline
+        # добежит. Пока продублирован тег из base (contour_e5c3d387,
+        # 16.07.2026) — то есть патч сейчас ничего не меняет.
+        image:
+          name:
+            _default: cr.yandex/crp3ccidau046kdj8g9q/pm-frontend:contour_fc00e54f

apps/pm/d8-ugmk-prod/kustomization.yaml

@@ -17,3 +17,7 @@ patches:
     target:
       kind: HelmRelease
       name: celery
+  - path: frontend.yaml
+    target:
+      kind: HelmRelease
+      name: frontend

infrastructure/istio-config/d8-ugmk-prod/istio-config.yaml

@@ -434,6 +434,24 @@ spec:
                   rewrite: /
                   service: frontend-svc.control-interface.svc.cluster.local
                   port: 8080
+            s3-proxy:
+              # Отдача файлов из MinIO наружу. Бэкенды кладут в бакет и возвращают
+              # фронту ссылку вида /media/<key> — без этого маршрута она уходит
+              # в catch-all `/` на frontend-svc.django и отдаёт index.html.
+              # Префикс /media/ — тот же, что в yc-ecp и dsinv, менять нельзя:
+              # он зашит в ссылки, которые уже сохранены в БД.
+              name: s3-proxy-virt-service
+              namespace: default
+              hosts:
+                - sarex.uralmine.com
+              gateways:
+                - default/platform-gateway
+              routes:
+                - path:
+                    prefix: /media/
+                  rewrite: /
+                  service: s3-proxy-svc.django.svc.cluster.local
+                  port: 80
             camunda-keycloak:
               namespace: default
               hosts: