doc: pg-terraform behavior report + ERR-PG-06/07

- doc/pg-terraform-behavior.md: подробный отчёт по поведению Nubes PostgreSQL
  с Terraform (vault_secrets, роли, тайминги, depends_on chain, SSH timeout)
  Добавлены: §2.6 vault ограничение (только 1 пользователь на инстанс), §9 IAM 408
- doc/errors/log.md: ERR-PG-01..ERR-PG-07 (все ошибки сессии тестирования)
  ERR-PG-06: vault backend позволяет только 1 vault_secrets на инстанс
  ERR-PG-07: HTTP 408 от auth-api-test.ngcloud.ru (транзитная)
- doc/progress.md: финальный статус сессии — lifecycle тесты заблокированы
  vault-ограничением тест-окружения, требуется исправление на стороне Nubes

doc/progress.md

@@ -1,6 +1,102 @@
 # Прогресс разработки
 
-Последнее обновление: 2026-03-30
+Последнее обновление: 2026-04-01
+
+---
+
+## 2026-04-01 — PG_TEST: создание и отладка lifecycle-тестов для nubes PostgreSQL
+
+### Цель
+
+Создать набор Terraform-манифестов для тестирования провайдера `nubes` (PostgreSQL ресурсы):
+создание/удаление/модификация инстансов, пользователей и баз данных через Nubes API.
+Передать заказчику как готовый шаблон (достаточно вписать токен и s3_uid).
+
+### Что создано
+
+**`examples/PG_TEST/`** — новая директория с полным набором манифестов:
+
+| Файл | Назначение |
+|---|---|
+| `main.tf` | провайдер nubes v5.0.51, объявление переменных |
+| `postgres.tf` | базовые ресурсы: инстанс, пользователь, база данных |
+| `postgres_extra.tf` | дополнительные ресурсы для lifecycle-тестов |
+| `outputs.tf` | host, port, user, password (sensitive), DSN (sensitive) |
+| `terraform.tfvars` | рабочие значения (не в git) |
+| `terraform.tfvars.example` | шаблон для заказчика с masked placeholders |
+| `test_lifecycle.sh` | скрипт последовательного lifecycle-тестирования |
+
+### Что протестировано (итоги)
+
+#### ✅ Работает
+
+- Создание `nubes_postgres` инстанса (pg-test-02, realm=k8s-3-sandbox-nubes-ru)
+- Создание `nubes_postgres_user` с ролью `ddl_user`
+- Создание `nubes_postgres_database` с owner из `nubes_postgres_user`
+- `adopt_existing_on_create = true` — корректно работает при первом apply если ресурс уже есть
+- `lifecycle { ignore_changes = [vault_secrets] }` — **не эффективно**: `vault_secrets` является Computed-only, директива игнорируется (Terraform warning)
+- Строгий `depends_on` chain — устраняет race condition в API (см. ниже)
+- Destroy: удаление DB (~47s), User (~56-76s) проходит корректно
+
+#### ❌ Не работает / Ограничения API
+
+| Проблема | Описание | Решение |
+|---|---|---|
+| `json_parameters` | "Invalid JSON String" при любом значении | убран из конфига |
+| `role = "app_user"` | "Секрет не был создан" (~3 мин таймаут) | только `ddl_user` |
+| Параллельное создание пользователей | Race condition на Vault side | `depends_on` chain |
+| `vault_secrets` внешнее изменение | Форсирует destroy+recreate зависимых ресурсов | `ignore_changes` не эффективен (Computed-only), открытая проблема |
+| `adopt_existing_on_create` при "stale" state | Ошибка "Нарушена консистентность" | `terraform destroy` + rebuild |
+
+### Итоговая архитектура depends_on
+
+```
+nubes_postgres (pg_test_instance)
+  └─→ nubes_postgres_user (pg_test_user)
+        └─→ nubes_postgres_database (pg_test_db)
+              └─→ nubes_postgres_user (test_extra_user1)
+                    └─→ nubes_postgres_user (test_extra_user2)
+                          └─→ nubes_postgres_database (test_extra_db1)
+                                └─→ nubes_postgres_database (test_extra_db2)
+```
+
+### Ключевые параметры окружения
+
+- Провайдер: `terra.k8c.ru/nubes/nubes` v5.0.51
+- API endpoint: `https://deck-api-test.ngcloud.ru/api/v1/index.cfm`
+- realm: `k8s-3-sandbox-nubes-ru`
+- PG инстанс ID: `e0e74801-d68e-4637-8ef3-d846b289846e` (pg-test-02)
+- VM для запуска: `naeel@5.172.178.213` (ключ: `secrets/naeel_vm_id_ed25519`)
+- Путь на VM: `/home/naeel/terra/sless/examples/PG_TEST`
+
+### Текущий статус (обновлено 2026-04-01)
+
+**Финальный итог сессии**: lifecycle-тесты с несколькими пользователями
+**невозможны** в текущем тест-окружении Nubes. Vault backend PG-инстанса
+`e0e74801` поддерживает только одного пользователя с vault_secrets.
+
+Подтверждено 5+ попытками с разными именами:
+- `extra_user1`, `test_eu1` (ddl_user) — все завершились ERR-PG-06
+
+**Достигнуто в сессии:**
+- ✅ Один пользователь + одна БД создаются и удаляются корректно
+- ✅ Все ошибки задокументированы (ERR-PG-01..ERR-PG-07)
+- ✅ Создан подробный отчёт [`doc/pg-terraform-behavior.md`](pg-terraform-behavior.md)
+- ✅ Архитектура `depends_on` chain подтверждена и задокументирована
+- ❌ Несколько пользователей на одном инстансе — заблокировано Vault-ограничением
+
+**Требуется от Nubes**: исправить vault policy для PG-инстансов тест-окружения,
+чтобы допускать несколько vault_secrets записей на один инстанс.
+
+Следующие шаги lifecycle-теста: создать всё → удалить user2+db2 → воссоздать → невалидные параметры
+
+### Подробности ошибок
+
+→ [doc/errors/log.md](doc/errors/log.md) (ERR-PG-01 … ERR-PG-05)
+
+### Принятые решения
+
+→ [doc/decisions/log.md](doc/decisions/log.md) (3 решения: ignore_changes, depends_on chain, только ddl_user)
 
 ---