# ADR 0003: Vault topology

Status: accepted for dev, production decision pending

동일한 단일 노드 K3s 안의 두 Vault는 failure domain을 분리하지 못하면서
초기화, Transit credential, rotation과 staged apply 절차를 추가했다.
따라서 `dev-k3s`는 단일 self-hosted Vault로 단순화한다.

Dev profile:

- single-node integrated Raft
- Shamir 1-of-1 init/unseal
- TLS 미적용
- 명시적 backup/recovery runbook

이 구성은 production에 사용할 수 없다. production은 다음 중 하나를
선택해야 한다.

- managed Vault
- workload cluster 밖의 독립 HA Vault
- 최소 3-node integrated-Raft + TLS + KMS/HSM auto-unseal + PDB,
  anti-affinity와 정기 restore exercise

production Vault가 결정되기 전에는 production manifest와 Terraform root를
만들지 않는다.