fix: imagePullSecrets, SLESS_ENTRYPOINT, registry secret propagation

- function_controller: добавить RegistrySecret + OperatorNamespace, копировать
  sless-registry-auth в sless-fn-<ns>, выставлять imagePullSecrets в Deployment,
  также обновлять imagePullSecrets при reconcile
- functionjob_controller: fnEnvVars включает SLESS_ENTRYPOINT, runner читает его
- server.js + server.py: читать SLESS_ENTRYPOINT вместо hardcoded handler.js/py
- rbac.yaml: добавить права на secrets
- operator.yaml: v0.1.8
- main.go: передать RegistrySecret + OperatorNamespace в FunctionReconciler

controllers/function_controller.go

@@ -1,4 +1,4 @@
-// Изменено: 2026-03-07
+// Изменено: 2026-03-08
 // FunctionReconciler — основной контроллер оператора.
 // Следит за CRD Function и управляет lifecycle функции:
 //   Pending → Building (запуск kaniko Job) → Ready (образ собран, Deployment создан) / Failed
@@ -28,8 +28,10 @@ import (
 // FunctionReconciler reconciles a Function object
 type FunctionReconciler struct {
 	client.Client
-	Scheme  *runtime.Scheme
-	Builder *builder.Builder
+	Scheme            *runtime.Scheme
+	Builder           *builder.Builder
+	RegistrySecret    string // имя Secret с docker credentials (для imagePullSecrets в подах функций)
+	OperatorNamespace string // namespace оператора — откуда копируем RegistrySecret в sless-fn-*
 }
 
 //+kubebuilder:rbac:groups=sless.kube5s.ru,resources=functions,verbs=get;list;watch;create;update;patch;delete
@@ -38,6 +40,7 @@ type FunctionReconciler struct {
 //+kubebuilder:rbac:groups=apps,resources=deployments,verbs=get;list;watch;create;update;patch;delete
 //+kubebuilder:rbac:groups=batch,resources=jobs,verbs=get;list;watch;create;update;patch;delete
 //+kubebuilder:rbac:groups="",resources=namespaces,verbs=get;list;watch;create
+//+kubebuilder:rbac:groups="",resources=secrets,verbs=get;create
 //+kubebuilder:rbac:groups="",resources=events,verbs=create;patch
 
 // Reconcile — главный цикл управления Function.
@@ -183,6 +186,15 @@ func (r *FunctionReconciler) ensureDeployment(ctx context.Context, fn *slessv1al
 		}
 	}
 
+	// Обеспечиваем наличие registry pull-секрета в namespace функций.
+	// Без него kubelet не сможет pull-нуть private образ из Harbor.
+	if r.RegistrySecret != "" && r.OperatorNamespace != "" {
+		if err := r.ensureRegistrySecret(ctx, deployNS); err != nil {
+			// Не фатальная ошибка — логируем, но продолжаем
+			log.FromContext(ctx).Error(err, "failed to ensure registry secret", "ns", deployNS)
+		}
+	}
+
 	desired := r.buildDeployment(fn, deployNS)
 	existing := &appsv1.Deployment{}
 	err := r.Get(ctx, client.ObjectKey{Name: fn.Name, Namespace: deployNS}, existing)
@@ -196,8 +208,9 @@ func (r *FunctionReconciler) ensureDeployment(ctx context.Context, fn *slessv1al
 		return ctrl.Result{}, fmt.Errorf("get deployment: %w", err)
 	}
 
-	// Обновляем образ если изменился (новая сборка)
+	// Обновляем образ и imagePullSecrets если изменились (новая сборка или смена конфига)
 	existing.Spec.Template.Spec.Containers[0].Image = fn.Status.ImageRef
+	existing.Spec.Template.Spec.ImagePullSecrets = desired.Spec.Template.Spec.ImagePullSecrets
 	if err := r.Update(ctx, existing); err != nil {
 		return ctrl.Result{}, fmt.Errorf("update deployment: %w", err)
 	}
@@ -207,7 +220,11 @@ func (r *FunctionReconciler) ensureDeployment(ctx context.Context, fn *slessv1al
 // buildDeployment формирует Deployment манифест для функции.
 func (r *FunctionReconciler) buildDeployment(fn *slessv1alpha1.Function, namespace string) *appsv1.Deployment {
 	replicas := int32(1)
-	envVars := []corev1.EnvVar{}
+	envVars := []corev1.EnvVar{
+		// SLESS_ENTRYPOINT сообщает server.py/server.js какой файл и функцию загружать.
+		// Формат: "module-name.funcName" (например: handler-http.handle)
+		{Name: "SLESS_ENTRYPOINT", Value: fn.Spec.Entrypoint},
+	}
 	for k, v := range fn.Spec.Env {
 		envVars = append(envVars, corev1.EnvVar{Name: k, Value: v})
 	}
@@ -236,12 +253,51 @@ func (r *FunctionReconciler) buildDeployment(fn *slessv1alpha1.Function, namespa
 							},
 						},
 					},
+					ImagePullSecrets: func() []corev1.LocalObjectReference {
+						if r.RegistrySecret != "" {
+							return []corev1.LocalObjectReference{{Name: r.RegistrySecret}}
+						}
+						return nil
+					}(),
 				},
 			},
 		},
 	}
 }
 
+// ensureRegistrySecret копирует pull-секрет из namespace оператора в namespace функций.
+// Вызывается при каждом reconcile — если секрет уже есть, ничего не делает.
+func (r *FunctionReconciler) ensureRegistrySecret(ctx context.Context, targetNS string) error {
+	// Проверяем что секрет уже есть в целевом namespace
+	existing := &corev1.Secret{}
+	if err := r.Get(ctx, client.ObjectKey{Name: r.RegistrySecret, Namespace: targetNS}, existing); err == nil {
+		return nil // уже есть
+	} else if !errors.IsNotFound(err) {
+		return fmt.Errorf("check secret: %w", err)
+	}
+
+	// Копируем из namespace оператора
+	src := &corev1.Secret{}
+	if err := r.Get(ctx, client.ObjectKey{Name: r.RegistrySecret, Namespace: r.OperatorNamespace}, src); err != nil {
+		return fmt.Errorf("get source secret from %s: %w", r.OperatorNamespace, err)
+	}
+
+	copy := &corev1.Secret{
+		ObjectMeta: metav1.ObjectMeta{
+			Name:      r.RegistrySecret,
+			Namespace: targetNS,
+		},
+		Type: src.Type,
+		Data: src.Data,
+	}
+	if err := r.Create(ctx, copy); err != nil {
+		if !errors.IsAlreadyExists(err) {
+			return fmt.Errorf("create secret in %s: %w", targetNS, err)
+		}
+	}
+	return nil
+}
+
 // handleDeletion обрабатывает удаление Function: удаляет Deployment и убирает finalizer.
 func (r *FunctionReconciler) handleDeletion(ctx context.Context, fn *slessv1alpha1.Function) (ctrl.Result, error) {
 	deployNS := "sless-fn-" + fn.Namespace