diff --git a/infrastructure/istio-config/aero/istio-config.yaml b/infrastructure/istio-config/aero/istio-config.yaml
new file mode 100644
index 0000000..930ab80
--- /dev/null
+++ b/infrastructure/istio-config/aero/istio-config.yaml
@@ -0,0 +1,29 @@
+apiVersion: helm.toolkit.fluxcd.io/v2
+kind: HelmRelease
+metadata:
+  name: istio-config
+  namespace: default
+spec:
+  interval: 5m
+  timeout: 10m
+  values:
+    global:
+      env: aero
+    environments:
+      aero:
+        namespaces: []
+        certManager:
+          certificates:
+            # Издатель — внутренний CA контура, а не ACME: до Let's Encrypt
+            # из закрытого контура не достучаться.
+            # См. infrastructure/cert-manager/aero/clusterissuer-ca.yaml
+            #
+            # Домены продублированы из aero/roles/sarex_stack/defaults/main.yml
+            # (platform_domain и производные). Единого источника нет — так же
+            # захардкожено во всех остальных кластерах репозитория.
+            dashboard-tls:
+              dnsNames:
+                - dashboard.sarex.local.lonsdaleites.ru
+              issuerRef:
+                name: aero-ca-issuer
+                kind: ClusterIssuer