doc: обновлена документация — дополнения к архитектуре, деплою, прогрессу

- architecture/overview.md: добавлена актуальная схема (SQS, managed PG)
- deployment.md: добавлена процедура деплоя в iot-naeel
- progress.md: добавлен блок 2026-04-12 (Kafka→SQS, деплой)
- api/endpoints.md: добавлен актуальный формат /iot-admin/stats
- thinking/2026-04-12.md: дописан ход реализации и деплоя
- copilot-instructions.md: добавлено правило «документацию не стирать»

Старая документация (Kafka, RabbitMQ) сохранена как база знаний.

doc/architecture/overview.md

@@ -64,3 +64,87 @@ REST API (iot-operator:9090)
 - `naeel/iot-operator` (Docker Hub)
 - Все 3 бинарника в одном образе
 - `command: ["/iot-operator"]` или `["/mqtt-bridge"]` или `["/kafka-consumer"]`
+
+---
+
+## Актуальная архитектура (2026-04-12)
+
+> Kafka заменён на shared-SQS. Postgres заменён на managed. Новый кластер iot-naeel.
+
+### Текущая схема
+
+```
+IoT Device (MQTT CONNECT)
+    │ username="{ns}_{deviceId}", password=hex
+    ▼
+EMQX 5.5.1 (sless/emqx)
+    │ POST /internal/mqtt/auth → iot-operator:9090
+    │ POST /internal/mqtt/acl  → iot-operator:9090
+    ▼
+    │ MQTT PUBLISH → topic: "{ns}/telemetry/{deviceId}"
+    ▼
+iot-mqtt-bridge (cmd/mqtt-bridge)
+    │ подписка на "+/telemetry/+"
+    │ → AWS SDK SQS SendMessage → shared-SQS (https://qu.kube5s.ru)
+    │ очередь: "iot-telemetry" (tenant: iot-service, id: t-96afe7e9f781f6ca)
+    ▼
+shared-SQS (namespace shared-sqs)
+    │ AWS SQS-совместимый, multi-tenant
+    ▼
+iot-sqs-consumer (cmd/sqs-consumer)
+    │ ReceiveMessage (WaitTimeSeconds=20, long polling)
+    │ DeleteMessage после успешной записи (at-least-once)
+    │ → per-tenant Postgres DB
+    ▼
+Managed PostgreSQL 17 (namespace dc5db45d-f8b4-4fd0-ad33-ec4dd017f2d5)
+    │ Host: postgresqlk8s-master.dc5db45d-....svc.cluster.local
+    │ User: super, DB: sqsdb
+    │ Per-tenant DB: tenant_{namespace}, Table: iot_telemetry
+    ▼
+REST API (iot-operator:9090)
+    │ GET /v1/namespaces/{ns}/iot/telemetry
+    ▼
+Пользователь (Terraform / UI Console)
+    │ wss://iot.kube5s.ru/mqtt (WebSocket через Ingress)
+    │ https://iot.kube5s.ru/console (UI)
+```
+
+### Компоненты (актуальные)
+
+| Компонент | Бинарник | Порт | Назначение |
+|-----------|----------|------|------------|
+| iot-operator | cmd/iot-operator | :9090 (API), :8080 (metrics), :8081 (health) | Controller-manager + REST API |
+| mqtt-bridge | cmd/mqtt-bridge | — | MQTT → shared-SQS bridge |
+| sqs-consumer | cmd/sqs-consumer | — | shared-SQS → Postgres pipeline |
+
+### Инфраструктура
+
+| Сервис | Тип | Namespace | Описание |
+|--------|-----|-----------|----------|
+| EMQX 5.5.1 | В кластере | sless | MQTT-брокер, HTTP auth/acl → iot-operator |
+| shared-SQS | В кластере | shared-sqs | AWS SQS-совместимая очередь, endpoint https://qu.kube5s.ru |
+| PostgreSQL 17 | Managed (оператор) | dc5db45d-... | per-tenant DB, тот же инстанс что и SQS billing |
+| cert-manager | В кластере | cert-manager | TLS сертификаты для iot.kube5s.ru |
+| nginx-ingress | В кластере | ingress | WSS/HTTPS проксирование |
+
+### Секреты в namespace sless
+
+| Secret | Ключи | Источник |
+|--------|-------|----------|
+| iot-sqs-credentials | SQS_ENDPOINT, SQS_ACCESS_KEY, SQS_SECRET_KEY | shared-SQS tenant iot-service |
+| iot-postgres-secret | POSTGRES_USER, POSTGRES_PASSWORD, POSTGRES_DB, IOT_PG_DSN | Managed PG |
+| iot-bridge-credentials | MQTT_USERNAME, MQTT_PASSWORD | Для mqtt-bridge → EMQX |
+
+### Docker образ (актуальный)
+
+- `naeel/iot-operator:v0.2.0` (Docker Hub)
+- Все 3 бинарника в одном образе
+- `command: ["/iot-operator"]` или `["/mqtt-bridge"]` или `["/sqs-consumer"]`
+- Базовый: `gcr.io/distroless/static:nonroot`
+
+### Кластер
+
+- Имя: `iot-naeel`
+- API: `https://185.247.187.149:6443`
+- Ingress IP: `185.247.187.151`
+- DNS: `iot.kube5s.ru → 185.247.187.147`