微服务集群从 Vault Agent 切换到 ESO，核心在于平滑过渡与权限收敛。通过 Raft 热升级结合内置 PKI 开启 TLS、以 CEL 策略防范配置越权，配合双轨比对与分批灰度，安全完成数十个服务的 Sidecar 替换。

Vault Agent 的 init 和 sidecar 默认各申请 250m CPU，在一个非生产集群里占了一半以上的 CPU requests，实际几乎不用。按 DevSecOps 的要求比较五种接法后，先只保留 init，再换成和生产共用接口的 ESO。

在 Homelab K3s 集群中，通过部署 alertmanager_gotify_bridge 将 Prometheus Alertmanager 的告警推送到 Gotify，实现自托管消息通知。记录从 Vault 存储 Token、ESO 同步 Secret、到 Alertmanager 路由配置的完整步骤。

Proxmox VM 一重启 Vault 就 sealed，ExternalSecret 跟着失败：postStart 解锁 hook 被 JSON grep 误判、ESO 没有及时重验，恢复脚本自己还有假阴性，最后改成按 exit code 三态判定。