apiVersion: v1
kind: Namespace
metadata:
  name: vault
  labels:
    # vault не должен получать istio-sidecar (перехват трафика ломает unseal/API);
    # base ставит istio-injection: enabled — здесь перекрываем.
    istio-injection: disabled