fix(security): CR ESO в отдельный Kustomization после оператора

kubernetes/apps/security/external-secrets-stores/app/externalsecret.yaml

@@ -0,0 +1,30 @@
+---
+# Проверочный ExternalSecret: доказывает всю цепочку ESO -> kubernetes-auth ->
+# Vault -> Secret в кластере. Значение кладётся в Vault командой
+#   vault kv put kv/demo username=demo password=s3cr3t
+# (key в ExternalSecret указывается без префикса path: demo -> kv/data/demo).
+# Когда появятся настоящие потребители (токен вебхука Flux и приложения),
+# этот объект можно удалить.
+apiVersion: external-secrets.io/v1
+kind: ExternalSecret
+metadata:
+  name: vault-smoke
+  namespace: security
+spec:
+  refreshInterval: 1h
+  secretStoreRef:
+    name: vault
+    kind: ClusterSecretStore
+  target:
+    name: vault-smoke
+    creationPolicy: Owner
+    deletionPolicy: Retain
+  data:
+    - secretKey: username
+      remoteRef:
+        key: demo
+        property: username
+    - secretKey: password
+      remoteRef:
+        key: demo
+        property: password