Add s3-proxy HelmRelease to d8-ugmk-prod and configure endpoint and annotations for closed contour compatibility

apps/django/d8-ugmk-prod/kustomization.yaml

@@ -13,3 +13,7 @@ patches:
     target:
       kind: ConfigMap
       name: zitadel-configmap
+  - path: s3-proxy.yaml
+    target:
+      kind: HelmRelease
+      name: s3-proxy

apps/django/d8-ugmk-prod/s3-proxy.yaml

@@ -0,0 +1,31 @@
+---
+# Патч s3-proxy для контура УГМК.
+#
+# В base зашит AWS_API_ENDPOINT=https://minio.contour.infra.sarex.tech —
+# в закрытом контуре этот хост недоступен, прокси не достучится до MinIO
+# и маршрут /media/ (s3-proxy-virt-service в istio-config) вернёт ошибку.
+#
+# podAnnotations — map, мержится по ключам, поэтому переопределён только
+# agent-inject-template-s3; остальные vault-аннотации берутся из base.
+# Эндпоинт задан литералом, а не через .Data.data.client.endpoint: так же
+# сделано в apps/django/d8-ugmk-prod/backend.yaml:145 для того же секрета
+# secrets/data/minio/apps/django — держим один способ на весь ns.
+apiVersion: helm.toolkit.fluxcd.io/v2
+kind: HelmRelease
+metadata:
+  name: s3-proxy
+  namespace: django
+spec:
+  values:
+    services:
+      s3-proxy:
+        podAnnotations:
+          _default:
+            vault.hashicorp.com/agent-inject-template-s3: |
+              {{- with secret "secrets/data/minio/apps/django" }}
+              AWS_API_ENDPOINT=https://s3.uralmine.com
+              {{- $buckets := index .Data.data "buckets" }}
+              AWS_S3_BUCKET={{ if gt (len $buckets) 0 }}{{ index (index $buckets 0) "name" }}{{ else }}django{{ end }}
+              AWS_ACCESS_KEY_ID={{ index .Data.data "access_key" }}
+              AWS_SECRET_ACCESS_KEY={{ index .Data.data "secret_key" }}
+              {{- end }}