feat: harbor integration — EnsureProject + per-namespace image path

- internal/harbor/client.go: новый пакет, EnsureProject (GET+POST idempotent)
- config.go: добавлены HarborUser/HarborPass (из HARBOR_USER/HARBOR_PASS env)
- builder.go: Projecter интерфейс, harborClient поле, ImageRef: {host}/{ns}/{func}:{tag}
  EnsureProject вызывается перед каждым Build()
- function_controller.go: HarborClient поле, EnsureProject при создании k8s NS
- main.go: создание harbor.Client если HARBOR_USER+HARBOR_PASS заданы
- operator.yaml: REGISTRY_HOST=pearlharbor..., HARBOR_USER=admin, v0.1.24
- hack/create-registry-secret.sh: переписан для Harbor (HARBOR_USER/HARBOR_PASS)

Смена registry — только через REGISTRY_HOST в ConfigMap, больше нигде.

internal/builder/builder.go

@@ -1,9 +1,9 @@
-// Изменено: 2026-03-07
+// Изменено: 2026-03-11
 // Builder — запускает kaniko Job в k8s для сборки Docker образа из кода функции.
 // Почему kaniko, а не docker-in-docker (DinD):
 //   kaniko не требует privileged контейнер, что безопаснее в managed кластере.
 //   kaniko читает контекст сборки из S3 напрямую.
-// Workflow: FunctionController вызывает Build → Job запускается → образ пушится в registry.
+// Workflow: FunctionController вызывает Build → EnsureProject (Harbor) → Job запускается → образ пушится в registry.
 
 package builder
 
@@ -20,17 +20,24 @@ import (
 	"sigs.k8s.io/controller-runtime/pkg/client"
 )
 
+// Projecter — опциональный интерфейс для реестров с поддержкой проектов (Harbor).
+// Если nil — вызов EnsureProject пропускается (Docker Hub, другие реестры без проектов).
+type Projecter interface {
+	EnsureProject(ctx context.Context, name string) error
+}
+
 // Builder — управляет сборкой Docker образов через kaniko Jobs в k8s.
 type Builder struct {
 	client         client.Client
 	builderImage   string // образ kaniko
-	registryHost   string // куда пушим образ
+	registryHost   string // куда пушим образ (Harbor: host; DockerHub: user/org)
 	registrySecret string // имя k8s Secret с docker-кредами для kaniko
 	s3Endpoint     string // откуда kaniko берёт код
 	s3AccessKey    string
 	s3SecretKey    string
 	s3Bucket       string
-	namespace      string // namespace где запускаем build Job'ы
+	namespace      string    // namespace где запускаем build Job'ы
+	harborClient   Projecter // nil если Harbor не используется
 }
 
 // Config — параметры для создания Builder'а.
@@ -43,6 +50,7 @@ type Config struct {
 	S3SecretKey    string
 	S3Bucket       string
 	Namespace      string
+	HarborClient   Projecter // nil — Harbor не используется, EnsureProject пропускается
 }
 
 // New создаёт новый Builder.
@@ -57,21 +65,34 @@ func New(c client.Client, cfg Config) *Builder {
 		s3SecretKey:    cfg.S3SecretKey,
 		s3Bucket:       cfg.S3Bucket,
 		namespace:      cfg.Namespace,
+		harborClient:   cfg.HarborClient,
 	}
 }
 
 // ImageRef возвращает полный путь к образу в registry для данной функции и версии.
 // Тег = первые 12 символов sha256(s3Key): уникален per build, не меняется при
 // повторном reconcile с тем же s3Key, не требует хаков с :latest.
+// Формат: {registryHost}/{namespace}/{funcName}:{tag}
+//
+//	Harbor: pearlharbor.registryk8s.services.ngcloud.ru/{ns}/{func}:{tag}
+//
+// Чтобы сменить реестр — достаточно изменить REGISTRY_HOST в одном месте (ConfigMap).
 func (b *Builder) ImageRef(namespace, funcName, s3Key string) string {
 	h := sha256.Sum256([]byte(s3Key))
 	tag := fmt.Sprintf("%x", h[:6]) // 12 hex-символов
-	return fmt.Sprintf("%s/sless-%s-%s:%s", b.registryHost, namespace, funcName, tag)
+	return fmt.Sprintf("%s/%s/%s:%s", b.registryHost, namespace, funcName, tag)
 }
 
 // Build запускает kaniko Job для сборки образа функции.
 // Возвращает имя Job'а чтобы контроллер мог следить за его статусом.
 func (b *Builder) Build(ctx context.Context, namespace, funcName, s3Key string) (string, error) {
+	// Идемпотентно создаём Harbor-проект перед push — kaniko сам его не создаёт.
+	// Пропускаем если HarborClient не задан (Docker Hub и другие реестры без проектов).
+	if b.harborClient != nil {
+		if err := b.harborClient.EnsureProject(ctx, namespace); err != nil {
+			return "", fmt.Errorf("harbor ensure project %q: %w", namespace, err)
+		}
+	}
 	imageRef := b.ImageRef(namespace, funcName, s3Key)
 	jobName := fmt.Sprintf("build-%s-%s", funcName, time.Now().Format("20060102150405"))