[5ym]

リポジトリ全体を読み直して、食い違いを直し、重複をまとめた。動いているものは変えない。

直した食い違い

• README の apps/cluster/ に、もう無い PT3 の DaemonSet(pt3-rebind)が書いてあった
• README の「bootstrap/ の 4 ファイル」(中身は 3 つ)・.sops.yaml の「6 つ」(実際は 5 つ)、decisions.md の「Secret 4 つ」
• docs/talos.md の管理モデルの表が「Argo CD が bootstrap/ の残りの平文を当てる」と言っていた(今は argocd-repos.yaml だけ)
• docs/talos.md のカーネルモジュールの行が modprobe helper の無いころのまま(alpha.2 から request_module で読む)
• bootstrap/README の「描き直すたびに Hubble の証明書が入れ替わる」は、hubble.tls.auto.method: cronJob と render.sh の検査に食い違う
• z440-migration.md・recovery/README の main.yaml(もう無い)、recovery の「bootstrap apply が TLS で落ちる」(今は cilium-drift)
• tools/README・creds.sh の README「Infisical より下の層」(見出しは「秘密の扱い」)
• NetBird の DNS の例外が nb だけと書いてあった(fix(netbird): md.doany.io と autodiscover を NetBird の DNS のワイルドカードから外す #631 で md・autodiscover が増えた。tools/README・pulumi/README・external-dns・netbird.ts のコメント)
• コメントの相対パス(cilium-values・argocd-values の ../apps/auth/…)、routing-peer.yaml の「bootstrap/talos.md で確認済み」(書いていない)
• cloudflare-tokens.md の sops <file> を sops edit に

まとめたもの

• bootstrap/README: cilium-drift の説明 2 か所、Infisical の operator と認証の説明、API サーバの入口の「締め出されたとき」
• bootstrap/talos.md: SOPS の決まり(bootstrap/README に 1 か所)、生成物をコミットしない理由(decisions.md へ)、upgrade-k8s --endpoint を「当てても効かないもの」から手順の箇条へ
• docs/talos.md: Image Factory の URL の版を <schematic> / <版> に(上げるたびに古くなるので)
• ROADMAP: 済んだ PT3 の項目を「済んだこと」に短く移す
• 合わせて 17 ファイル、+62 / −81 行

確かめたこと

• bootstrap/render.sh の生成物は変更前とバイト単位で同じ(sha256 5ee4de72…)
• apps/・pulumi/ の差分はコメントだけ(*.yaml・*.ts・*.sh の差分からコメント行を除くと、残りは creds.sh のエラーメッセージ 1 行)
• Markdown のリンク先と「ファイル名「見出し」」の参照は全部ある(外部の Tuwunel の docs を除く)

🤖 Generated with Claude Code

https://claude.ai/code/session_01T9PbUfqG4pPxus99UeLiJs

[claude]

Claude finished @5ym's task in 22s —— View job

---

レビュー結果

問題なし です。docs 中心の整理で、動作に影響する変更は見当たりませんでした。

確認したこと

• bootstrap/*.sops.yaml は実際に 5 つで、.sops.yaml の path_regex も 3 規則(talos-secrets、talos、*-values)です。README の「6 つ」を外した修正は正しいです。
• main.yaml と pt3-rebind の言及は、ROADMAP の「済んだこと」と decisions.md の経緯の記述にだけ残っています。どちらも履歴として意図どおりです。
• cilium-values.yaml に hubble.tls.auto.method: cronJob があります。「描き直すたびに証明書が入れ替わる」を消した修正は、設定と合っています。
• コード側の差分はコメントと creds.sh のエラーメッセージ 1 行だけです。PR 本文の説明と一致しています。

補足 (任意)

• render.sh の生成物が変更前と同じことは、PR 本文の sha256 に頼っています。この環境では再実行していません。
• 「Infisical より下の層」は、README.md:38 の「秘密の扱い」節内に今も残っています。節の中の言い回しなので食い違いではなく、直さなくて構いません。

[github-actions]

🍹 preview on doany-cloudflare/prod

Pulumi report

Previewing update (prod):

@ previewing update.....
pulumi:pulumi:Stack doany-cloudflare-prod  
Resources:
61 unchanged

[claude]

Claude finished @5ym's task in 10s —— View job

---

レビュー結果

問題なし です。コード側の変更は、コメントと tools/creds.sh のエラーメッセージ 1 行だけで、動作には影響しません。

確認したこと

• cilium-values.yaml・argocd-values.sops.yaml のコメントの相対パスは、bootstrap/ から見て ../apps/auth/… が正しいです。
• routing-peer.yaml の「(bootstrap/talos.md)」は、参照先に書かれていない根拠でした。外したのは妥当です。
• pulumi/netbird.ts のコメントは、md・autodiscover の例外を指す内容になりました。
• creds.sh のエラーメッセージは、README の見出し「秘密の扱い」と一致しました。
• 動作に関わる変更はありません。

要確認 (任意)

• render.sh の生成物がバイト単位で同じという点は、PR 本文の sha256 を信用しています。この環境では再実行していません。
• 実際に変更した 17 ファイルのうち、bootstrap/README.md・bootstrap/talos.md・docs/ 配下の文章の統合は、今回は差分の全文を読んでいません。細部の読み合わせは行っていません。