DEVOPS-117: чарт on-premise 3.0 — Nanabush Player, секреты в Secret, валидация values

Актуализация чарта по продовому .helm из HRBOX.

Nanabush Player перенесён из прода и упрощён под one-release-топологию
on-premise: без карт env/ci_dc, но с сохранёнными инвариантами (audience =
https://<host>, basePath отдельно от aud, allowlist обратного канала только
на внутрикластерный web, метрики на непубликуемом порту). Выделенного
поддомена в on-premise нет, поэтому плеер монтируется на основной домен под
/nanabush-player. Три переключателя для аварийного отката сохранены.

Из прода также перенесены: пул конвертации видео, PodDisruptionBudget для
web, OpenTelemetry-сайдкар, assetlinks, набор location в nginx (/healthz,
/health-check, потоковый /api/v1/integration/commit, /ai/, sw.js, шрифты).
Версии образов подтянуты к продовым.

Приведение чарта в порядок: все образы в блоке image, imagePullSecrets в
настройках, девять одинаковых define ресурсов заменены одним хелпером,
удалено ~100 строк мёртвого кода в _helpers.tpl, пароли и ключи уехали в
Secret и читаются через secretKeyRef, добавлены 00-validate.yaml и NOTES.txt.

Исправлено в 2.x:
- SERVICES_INTERNAL_SECRET имел захардкоженное значение по умолчанию, то есть
  все установки, где его не заполнили, работали на одном секрете межсервисной
  аутентификации;
- cluster.domain игнорировался: маршруты кластера NATS были захардкожены на
  cluster.local;
- CLUSTER_ADVERTISE без сегмента svc — ноды NATS объявляли соседям
  недостижимый адрес;
- nats.replicas и nats.cluster.replicas задавались независимо, при
  расхождении часть нод не входила в кластер;
- пробы web проверяли только TCP-порт 9000, поэтому под с неработающим PHP
  считался готовым;
- внутренние URL были захардкожены строками hrbox-* и молча ломались при
  nameOverride.

Имена объектов и селекторы Deployment не менялись — обновление 2.x -> 3.0 не
пересоздаёт объекты. Переехавшие ключи values.yaml чарт распознаёт и
останавливает установку с подсказкой; порядок перехода — в CHANGELOG.md.

Проверено: helm lint чистый; отрендерены 4 конфигурации (дефолт, всё
включено, плеер и инфра выключены, nameOverride); структурная проверка
рендера без замечаний; 20 негативных сценариев срабатывают с ожидаемыми
сообщениями; реалистичный values.yaml из 2.x последовательно ловится всеми
шестью guard'ами.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

.helm/templates/00-app-secret.yaml

@@ -0,0 +1,38 @@
+{{- if not .Values.secrets.existingSecret }}
+{{/*
+Единый Secret с чувствительными настройками HRBox.
+
+В чарте 2.x пароли и ключи подставлялись прямо в env-блоки Deployment,
+поэтому любой, кто мог сделать `kubectl get deploy -o yaml`, видел пароль
+базы и ключ шифрования. Здесь значения лежат в одном Secret, а контейнеры
+читают их через secretKeyRef (см. hrbox.secretEnv в _helpers.tpl).
+
+Если секретами управляет внешний инструмент, задайте secrets.existingSecret —
+тогда чарт этот объект не создаёт и только ссылается на указанный. Набор
+ключей должен совпадать с перечисленным ниже.
+*/}}
+---
+apiVersion: v1
+kind: Secret
+type: Opaque
+metadata:
+  name: {{ include "hrbox.secretName" . | quote }}
+  labels:
+    {{- include "hrbox.labels" (dict "ctx" . "name" "app") | nindent 4 }}
+stringData:
+  cookie-validation-key: {{ .Values.secrets.cookieValidationKey | quote }}
+  encryption-key: {{ .Values.secrets.encryptionKey | quote }}
+  services-internal-secret: {{ .Values.secrets.servicesInternalSecret | quote }}
+  postgres-password: {{ .Values.app.postgres.password | quote }}
+  s3-key: {{ .Values.app.s3.key | quote }}
+  s3-secret: {{ .Values.app.s3.secret | quote }}
+  smtp-password: {{ .Values.app.smtp.password | quote }}
+  hub-token: {{ .Values.app.hub.token | quote }}
+  chatbox-wrapping-key: {{ .Values.app.chatbox.wrappingKey | quote }}
+  livekit-api-secret: {{ .Values.app.livekit.apiSecret | quote }}
+  yandex-client-password: {{ .Values.app.yandex.clientPassword | quote }}
+  yandex-ai-api-key: {{ .Values.app.ai.yandex.apiKey | quote }}
+  google-client-secret: {{ .Values.app.integrations.google.clientSecret | quote }}
+  slack-client-secret: {{ .Values.app.slack.clientSecret | quote }}
+  slack-verification-token: {{ .Values.app.slack.verificationToken | quote }}
+{{- end }}