{{- /* Identifiants MinIO : jamais dans le dépôt. Le Vault Secrets Operator
       authentifie ce chart auprès de Vault (rôle créé par iac/) puis
       matérialise le secret k8s consommé via `existingSecret`. Même recette
       que plausible. */ -}}
apiVersion: secrets.hashicorp.com/v1beta1
kind: VaultAuth
metadata:
  name: minio
  namespace: tools
spec:
  vaultConnectionRef: default
  method: kubernetes
  mount: kubernetes
  kubernetes:
    role: minio
    serviceAccount: minio
    audiences:
      - vault