{{- /* kvv2/minio/config → secret `minio-config` (clés rootUser / rootPassword,
       les deux noms exigés par le chart officiel). Le mot de passe est généré
       par Terraform (iac/), jamais choisi à la main. */ -}}
apiVersion: secrets.hashicorp.com/v1beta1
kind: VaultStaticSecret
metadata:
  name: minio
  namespace: tools
spec:
  type: kv-v2
  mount: kvv2
  path: minio/config
  destination:
    name: minio-config
    create: true
  refreshAfter: 30s
  vaultAuthRef: minio