fixes

.gitlab-ci.yml

@@ -41,8 +41,6 @@ trigger-downstream:
     S3_STATE_BUCKET: ${S3_STATE_BUCKET}
     AWS_ACCESS_KEY_ID: ${S3_ACCESS_KEY}
     AWS_SECRET_ACCESS_KEY: ${S3_SECRET_KEY}
-    KUBECONFIG: ${KUBECONFIG}
-    KUBE_CONTEXT: ${KUBE_CONTEXT}
   rules:
     - if: '$CI_PIPELINE_SOURCE == "merge_request_event"'
     - if: '$CI_COMMIT_BRANCH == "master" || $CI_COMMIT_BRANCH == "main"'

live/terragrunt.hcl

@@ -52,9 +52,9 @@ provider "yandex" {
 }
 
 provider "kubernetes" {
-  # Если kubeconfig_path не указан, провайдер использует дефолтный путь ~/.kube/config
-  # Если указан, берем только первый путь (KUBECONFIG может содержать несколько путей через :)
-  config_path    = var.kubeconfig_path != "" ? split(":", var.kubeconfig_path)[0] : null
+  # Если kubeconfig_path указан и файл существует - используем его
+  # Иначе провайдер автоматически использует in-cluster config (для runner'а в k8s)
+  config_path    = var.kubeconfig_path != "" ? var.kubeconfig_path : null
   config_context = var.kube_context != "" ? var.kube_context : null
 }
 

scripts/generate-pipeline.sh

@@ -118,11 +118,8 @@ plan-${job_prefix}:
 
 PLAN_JOB
 
-  if [ "$env" = "prod" ]; then
-    when_clause="manual"
-  else
-    when_clause="on_success"
-  fi
+  # Apply всегда manual
+  when_clause="manual"
   
   apply_needs="plan-${job_prefix}"
   if [ "$component" = "secrets" ]; then