fix(tenants): segredo do vinculo obrigatorio no runtime-core — opcional, o pod subia antes do Secret e ficava sem o vinculo

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

moldes/consolidado/70-runtime-core.yaml

@@ -42,14 +42,15 @@ spec:
             - { name: ATM_TENANT, value: "{{TENANT}}" }
             - { name: ATM_PLANO, value: "{{PLANO}}" }
             # Vinculo do funcionario ao usuario do Keycloak (RF-09). O Secret e
-            # selado pelo provisionamento; `optional` para um tenant sem ele subir
-            # com o vinculo desligado, e nao travar em CreateContainerConfigError.
+            # selado pelo provisionamento. NAO e `optional` de proposito: opcional,
+            # o pod sobe antes de o controlador abrir o SealedSecret e fica com o
+            # vinculo desligado em silencio (visto em 2026-09-26 em 3 tenants).
             - { name: ATM_KC_ADMIN_ENABLED, value: "true" }
             - { name: ATM_KC_ADMIN_URL, value: "http://keycloak.plataforma-prod.svc:8080" }
             - { name: ATM_KC_REALM, value: "{{REALM}}" }
             - name: ATM_KC_CLIENT_SECRET
               valueFrom:
-                secretKeyRef: { name: kc-admin-secret, key: client-secret, optional: true }
+                secretKeyRef: { name: kc-admin-secret, key: client-secret }
           resources:
             requests: { cpu: 100m, memory: 384Mi }
             limits:   { cpu: "1",  memory: 768Mi }

tenants/escolinha-de-teste-2/70-runtime-core.yaml

@@ -42,14 +42,15 @@ spec:
             - { name: ATM_TENANT, value: "escolinha-de-teste-2" }
             - { name: ATM_PLANO, value: "bronze" }
             # Vinculo do funcionario ao usuario do Keycloak (RF-09). O Secret e
-            # selado pelo provisionamento; `optional` para um tenant sem ele subir
-            # com o vinculo desligado, e nao travar em CreateContainerConfigError.
+            # selado pelo provisionamento. NAO e `optional` de proposito: opcional,
+            # o pod sobe antes de o controlador abrir o SealedSecret e fica com o
+            # vinculo desligado em silencio (visto em 2026-09-26 em 3 tenants).
             - { name: ATM_KC_ADMIN_ENABLED, value: "true" }
             - { name: ATM_KC_ADMIN_URL, value: "http://keycloak.plataforma-prod.svc:8080" }
             - { name: ATM_KC_REALM, value: "athleticmap-7" }
             - name: ATM_KC_CLIENT_SECRET
               valueFrom:
-                secretKeyRef: { name: kc-admin-secret, key: client-secret, optional: true }
+                secretKeyRef: { name: kc-admin-secret, key: client-secret }
           resources:
             requests: { cpu: 100m, memory: 384Mi }
             limits:   { cpu: "1",  memory: 768Mi }

tenants/escolinha-de-teste/70-runtime-core.yaml

@@ -42,14 +42,15 @@ spec:
             - { name: ATM_TENANT, value: "escolinha-de-teste" }
             - { name: ATM_PLANO, value: "bronze" }
             # Vinculo do funcionario ao usuario do Keycloak (RF-09). O Secret e
-            # selado pelo provisionamento; `optional` para um tenant sem ele subir
-            # com o vinculo desligado, e nao travar em CreateContainerConfigError.
+            # selado pelo provisionamento. NAO e `optional` de proposito: opcional,
+            # o pod sobe antes de o controlador abrir o SealedSecret e fica com o
+            # vinculo desligado em silencio (visto em 2026-09-26 em 3 tenants).
             - { name: ATM_KC_ADMIN_ENABLED, value: "true" }
             - { name: ATM_KC_ADMIN_URL, value: "http://keycloak.plataforma-prod.svc:8080" }
             - { name: ATM_KC_REALM, value: "athleticmap-6" }
             - name: ATM_KC_CLIENT_SECRET
               valueFrom:
-                secretKeyRef: { name: kc-admin-secret, key: client-secret, optional: true }
+                secretKeyRef: { name: kc-admin-secret, key: client-secret }
           resources:
             requests: { cpu: 100m, memory: 384Mi }
             limits:   { cpu: "1",  memory: 768Mi }

tenants/teste5/70-runtime-core.yaml

@@ -42,14 +42,15 @@ spec:
             - { name: ATM_TENANT, value: "teste5" }
             - { name: ATM_PLANO, value: "bronze" }
             # Vinculo do funcionario ao usuario do Keycloak (RF-09). O Secret e
-            # selado pelo provisionamento; `optional` para um tenant sem ele subir
-            # com o vinculo desligado, e nao travar em CreateContainerConfigError.
+            # selado pelo provisionamento. NAO e `optional` de proposito: opcional,
+            # o pod sobe antes de o controlador abrir o SealedSecret e fica com o
+            # vinculo desligado em silencio (visto em 2026-09-26 em 3 tenants).
             - { name: ATM_KC_ADMIN_ENABLED, value: "true" }
             - { name: ATM_KC_ADMIN_URL, value: "http://keycloak.plataforma-prod.svc:8080" }
             - { name: ATM_KC_REALM, value: "athleticmap-9" }
             - name: ATM_KC_CLIENT_SECRET
               valueFrom:
-                secretKeyRef: { name: kc-admin-secret, key: client-secret, optional: true }
+                secretKeyRef: { name: kc-admin-secret, key: client-secret }
           resources:
             requests: { cpu: 100m, memory: 384Mi }
             limits:   { cpu: "1",  memory: 768Mi }

tenants/zico-0/70-runtime-core.yaml

@@ -42,14 +42,15 @@ spec:
             - { name: ATM_TENANT, value: "zico-0" }
             - { name: ATM_PLANO, value: "bronze" }
             # Vinculo do funcionario ao usuario do Keycloak (RF-09). O Secret e
-            # selado pelo provisionamento; `optional` para um tenant sem ele subir
-            # com o vinculo desligado, e nao travar em CreateContainerConfigError.
+            # selado pelo provisionamento. NAO e `optional` de proposito: opcional,
+            # o pod sobe antes de o controlador abrir o SealedSecret e fica com o
+            # vinculo desligado em silencio (visto em 2026-09-26 em 3 tenants).
             - { name: ATM_KC_ADMIN_ENABLED, value: "true" }
             - { name: ATM_KC_ADMIN_URL, value: "http://keycloak.plataforma-prod.svc:8080" }
             - { name: ATM_KC_REALM, value: "athleticmap-8" }
             - name: ATM_KC_CLIENT_SECRET
               valueFrom:
-                secretKeyRef: { name: kc-admin-secret, key: client-secret, optional: true }
+                secretKeyRef: { name: kc-admin-secret, key: client-secret }
           resources:
             requests: { cpu: 100m, memory: 384Mi }
             limits:   { cpu: "1",  memory: 768Mi }