# Robot Account de Harbor para el pull secret

## El problema

El secret `myregistrykey` del cluster guarda credenciales de Harbor (en
base64, que no es cifrado). Si se usara la contraseña personal, cualquiera
con acceso al cluster podría leerla, y al cambiarla en Harbor el despliegue
dejaría de hacer pull sin motivo aparente.

## La solución: un robot account

Un *robot account* es un usuario artificial de Harbor pensado para máquinas:

- Se crea dentro de un proyecto, con ámbito limitado
- Permisos mínimos (solo *pull*)
- Token independiente de la contraseña personal
- Caducidad configurable
- Revocable sin afectar al usuario real

## Crear o renovar el secret en el cluster

1. Entrar en Harbor → proyecto **reymota** → pestaña **Robot Accounts** →
   crear/renovar uno (p. ej. `regbrowser-pull`, permisos solo **Pull**) y
   copiar el token
2. Aplicar con Make:

```bash
make -C k8s robot-secret TOKEN='<token>'
```

Esto crea/actualiza el secret `myregistrykey` en el namespace `regbrowser`
y reinicia el deployment para verificar que el pull funciona.

## Verificar

```bash
make -C k8s status    # STATUS debe ser Running (no ImagePullBackOff)
```