---
apiVersion: kustomize.config.k8s.io/v1beta1
kind: Kustomization
resources:
  - ../base
  # Внутренний CA вместо ACME: контур закрытый, до Let's Encrypt не достучаться.
  - clusterissuer-ca.yaml

# ACME-издатели из base выключены удалением, а не форком base: так overlay
# остаётся патчем и не расходится с остальными кластерами при обновлении base.
patches:
  - target:
      kind: ClusterIssuer
      name: letsencrypt-issuer
    patch: |
      $patch: delete
      apiVersion: cert-manager.io/v1
      kind: ClusterIssuer
      metadata:
        name: letsencrypt-issuer
  - target:
      kind: ClusterIssuer
      name: letsencrypt-issuer-istio
    patch: |
      $patch: delete
      apiVersion: cert-manager.io/v1
      kind: ClusterIssuer
      metadata:
        name: letsencrypt-issuer-istio