++

apps/processing/wb/engine-low.yaml

@@ -26,6 +26,22 @@ spec:
     remediation:
       retries: 3
 
+  # См. apps/processing/wb/engine.yaml — тот же обход абстракции чарта для
+  # serviceAccountName/automountServiceAccountToken через postRenderers.
+  postRenderers:
+    - kustomize:
+        patches:
+          - target:
+              kind: Deployment
+              name: engine-low
+            patch: |-
+              - op: add
+                path: /spec/template/spec/serviceAccountName
+                value: workflows-backend-sa
+              - op: add
+                path: /spec/template/spec/automountServiceAccountToken
+                value: true
+
   values:
     global:
       env: _default
@@ -34,12 +50,6 @@ spec:
       engine-low:
         enabled: true
 
-        serviceAccount:
-          enabled:
-            _default: true
-          name:
-            _default: workflows-backend-sa
-
         image:
           name:
             _default: cr.yandex/crp3ccidau046kdj8g9q/workflows-engine:prod_b6e15fda

apps/processing/wb/engine.yaml

@@ -26,6 +26,25 @@ spec:
     remediation:
       retries: 3
 
+  # Чарт не создаёт workflows-backend-sa (он уже есть в ns workflow, заведён
+  # руками) — значения serviceAccount.enabled что true, что false чарт
+  # применяет по-своему и не даёт того же результата, что в живом дампе
+  # (serviceAccountName + automountServiceAccountToken: true на самом поде).
+  # Патчим отрендеренный Deployment напрямую, в обход абстракции чарта.
+  postRenderers:
+    - kustomize:
+        patches:
+          - target:
+              kind: Deployment
+              name: engine
+            patch: |-
+              - op: add
+                path: /spec/template/spec/serviceAccountName
+                value: workflows-backend-sa
+              - op: add
+                path: /spec/template/spec/automountServiceAccountToken
+                value: true
+
   values:
     global:
       env: _default
@@ -34,12 +53,6 @@ spec:
       engine:
         enabled: true
 
-        serviceAccount:
-          enabled:
-            _default: true
-          name:
-            _default: workflows-backend-sa
-
         image:
           name:
             _default: cr.yandex/crp3ccidau046kdj8g9q/workflows-engine:prod_b6e15fda