[deploy] 切 governance deploy values 到 :0.1.0-SNAPSHOT + pullPolicy Always（承 #20 AD · 解 I4 前置）

[JIAQIA]

Task · 承接 Discussion #20（平台发布契约 AD）· D5：主仓 owns charts。governance 子仓侧已执行完毕，差主仓改 deploy values 这最后一步——它是 M1 纵切链（#15 I4）能拉到 governance 镜像的前置。

任务描述

按 #20 AD（docs/architecture/04-工程与部署.md §4），把 governance 的部署 image 切到移动 SNAPSHOT tag 并覆写 pullPolicy: Always。

governance 子仓已落地（commit e96f4a0，CI build + image 双 job 全绿）：pom 0.1.0 → 0.1.0-SNAPSHOT、CI 推双 tag、镜像已发布 ghcr：

• 移动 ghcr.io/hashmatrixdata/governance:0.1.0-SNAPSHOT
• 不可变 ghcr.io/hashmatrixdata/governance:0.1.0-SNAPSHOT-e96f4a0
• digest sha256:ca7062f89c3b2e62095b8f5e5841a470048d6180e536e37465e901c6f9952f93（两 tag 同 digest）

端口 8082 已修（f4b1671），无需再动。

改动点（主仓 deploy）

deploy/values/values-tenant-demo.yaml、deploy/values/values-tenant-demodb.yaml 的 governance 条目：

   - name: governance
     image:
       repository: ghcr.io/hashmatrixdata/governance
-      tag: "0.1.0"
+      tag: "0.1.0-SNAPSHOT"
+      pullPolicy: Always

（tenant chart templates/services.yaml 已支持 .image.pullPolicy | default "IfNotPresent"，加 pullPolicy: Always 即生效。）

为什么

tag:"0.1.0" 在 ghcr 已不存在（governance 切 SNAPSHOT）→ 拉不到镜像；默认 IfNotPresent 下移动 tag 还会缓存陈旧。不改则 governance 无法部署 → M1 纵切链卡在 governance 这环。

完成标准

• 两 values 文件 governance image 切 :0.1.0-SNAPSHOT + pullPolicy: Always
• helm 渲染 governance Deployment image = …/governance:0.1.0-SNAPSHOT、imagePullPolicy: Always
• kind 单 ns 部署后 governance pod 拉到镜像、Running、readiness 真实绿、集群内 8082 可达
• ghcr package 可见性确认（若 private 需 imagePullSecret——可在本 issue 或 M1 贯通主线 · 端到端集成（主仓 owner） #15 跟踪）

关联

• 承 Discussion [governance → main] 平台服务版本 / 镜像 tag / pullPolicy 约定 + governance 部署端口同步 #20（hand-off 评论 #discussioncomment-17363746）
• governance：commit e96f4a0、issue HashMatrixData/hashmatrix-governance#17
• 卡 M1 贯通主线 · 端到端集成（主仓 owner） #15（M1 贯通主线 · I4）

[JIAQIA]

✅ #23 验收通过 · 关单

主仓 deploy values 改动（承 #20 AD）已落 + 实测闭环：

完成标准

• 两 values 切 :0.1.0-SNAPSHOT + pullPolicy: Always —— commit 38c4976（渲染门已过）
• helm 渲染 governance image=…/governance:0.1.0-SNAPSHOT、imagePullPolicy: Always
• ghcr 可见性 —— 已转 public（匿名可拉，无需 imagePullSecret）
• kind 单 ns 部署 → governance Pod 拉到镜像 + Running（1/1、0 重启、干净启动 27s；digest ca7062f8… 与 governance e96f4a0 一致）；集群内 8082 可达（Tomcat 8082 app + 9082 mgmt，均对齐 §3 基线）

验证旁注

• 拉取：DaoCloud 的 ghcr 镜像源对该镜像不稳（卡死），改直连 ghcr.io 拉 + load 验证；pullPolicy: Always 对真实集群正确（渲染已验），仅本地镜像源是已知 local-infra 抖动。
• /actuator/health 500：governance 的 ES/PG 健康检查 DOWN（依赖未部署）→ 归 M1 贯通主线 · 端到端集成（主仓 owner） #15 I4（in-cluster ES/PG），非 [deploy] 切 governance deploy values 到 :0.1.0-SNAPSHOT + pullPolicy Always（承 #20 AD · 解 I4 前置） #23。

验证中挖出的真阻断（已转 governance）

用 tenant chart 真部署会卡 CreateContainerConfigError：governance 镜像 USER app（非数字）⨯ tenant chart runAsNonRoot: true。已开 issue 跟踪（D5·子仓 owns image）→ HashMatrixData/hashmatrix-governance#18（改数字 USER 1000）。本地临时移除 runAsNonRoot 才起来——故"部署可达"用旁路证明，真链路待 governance#18 修完。

#23（values flip + 镜像可拉可起）闭环 → 关闭。 剩余（真实 tenant chart 部署 + ES/PG + 纵切）由 governance#18 + #15 接续。