Add support s3 to nessie

Author: ilyario

docs/en/connectors.md

@@ -813,8 +813,10 @@ sink:
     # Or basicAuth: { username, password }
 
     # Optional: Iceberg warehouse object storage (S3-compatible). Separate from Nessie REST auth above.
-    # Set accessKeySecretRef and secretAccessKeySecretRef together. Secrets must be in the same namespace as the DataFlow (Kubernetes secretKeyRef env limitation).
-    # Values are injected only into the processor pod env (AWS_ACCESS_KEY_ID, AWS_SECRET_ACCESS_KEY); they are not resolved into the mounted spec ConfigMap.
+    # Set accessKeySecretRef and secretAccessKeySecretRef together.
+    # If namespace is omitted, defaults to the DataFlow namespace and values use secretKeyRef (recommended).
+    # If namespace points elsewhere, the operator reads those Secrets at reconcile time and sets literal env on the Deployment (values appear in the Deployment object in the API).
+    # Credential refs stay as refs inside mounted spec JSON for Nessie sink (plaintext keys do not go through resolve into ConfigMap for these fields).
     # s3Endpoint: "https://storage.yandexcloud.net"
     # s3Region: "ru-central1"
     # accessKeySecretRef:
@@ -831,7 +833,7 @@ sink:
 - **Batch appends**: Groups messages; flush when batch size or timer (10s) is reached. Size only: `batchFlushIntervalSeconds: 0`. Timer only: `batchSize: 0`
 - **Auto-create table**: Creates an Iceberg table with one `data` (string) column for JSON payloads when the table does not exist.
 - **Authentication**: Same as source (Bearer or Basic).
-- **Warehouse object storage**: Optional static credentials for the Parquet warehouse (`accessKeySecretRef` + `secretAccessKeySecretRef`) set iceberg-go / AWS SDK env (`AWS_S3_ENDPOINT`, `AWS_REGION` when `s3Endpoint` / `s3Region` are set). Cross-namespace Secret references are rejected at reconcile time.
+- **Warehouse object storage**: Optional static credentials for the Parquet warehouse (`accessKeySecretRef` + `secretAccessKeySecretRef`) set iceberg-go / AWS SDK env (`AWS_S3_ENDPOINT`, `AWS_REGION` when `s3Endpoint` / `s3Region` are set). Same-namespace refs use `secretKeyRef`; other namespaces are resolved by the operator into Deployment env literals. Changing a referenced Secret triggers reconcile via normal Secret watches.
 
 ### Example: Kafka to Nessie (Iceberg)
 

docs/ru/connectors.md

@@ -861,8 +861,9 @@ sink:
     # Или basicAuth: { username, password }
 
     # Опционально: объектное хранилище warehouse (S3-совместимое). Не путать с аутентификацией Nessie REST выше.
-    # Задавайте accessKeySecretRef и secretAccessKeySecretRef вместе. Secret должен быть в том же namespace, что и DataFlow (ограничение Kubernetes для secretKeyRef в env).
-    # Значения попадают только в переменные окружения пода processor (AWS_ACCESS_KEY_ID, AWS_SECRET_ACCESS_KEY); в ConfigMap со спекой они не материализуются.
+    # Задавайте accessKeySecretRef и secretAccessKeySecretRef вместе.
+    # Если namespace не указан, считается namespace DataFlow и используется secretKeyRef в Pod (предпочтительно).
+    # Если указан другой namespace, оператор читает Secret при reconcile и подставляет литералы в env Deployment (аналогично другим коннекторам с секретами в ConfigMap по модели раскрытия в etcd API).
     # s3Endpoint: "https://storage.yandexcloud.net"
     # s3Region: "ru-central1"
     # accessKeySecretRef:
@@ -879,7 +880,7 @@ sink:
 - **Батч-дозапись**: Группировка сообщений и дозапись батчами в Iceberg; по умолчанию сброс при достижении `batchSize` или по таймеру (10 с). Только по размеру: `batchFlushIntervalSeconds: 0`. Только по времени: `batchSize: 0`
 - **Автосоздание таблицы**: Создание таблицы Iceberg с одной колонкой `data` (string) для JSON при отсутствии таблицы.
 - **Аутентификация**: Аналогично источнику (Bearer или Basic).
-- **Объектное хранилище warehouse**: Опциональные статические ключи (`accessKeySecretRef` + `secretAccessKeySecretRef`) задают переменные iceberg-go / AWS SDK; при необходимости укажите `s3Endpoint` и `s3Region` (например Yandex Object Storage). Ссылки на Secret в другом namespace отклоняются при reconcile.
+- **Объектное хранилище warehouse**: Опциональные статические ключи (`accessKeySecretRef` + `secretAccessKeySecretRef`) задают переменные iceberg-go / AWS SDK; при необходимости укажите `s3Endpoint` и `s3Region` (например Yandex Object Storage). В том же namespace, что DataFlow, используются `secretKeyRef`; для другого namespace оператор подставляет значения в env Deployment. Изменение целевого Secret приводит к reconcile через watch.
 
 #### Пример: Kafka → Nessie (Iceberg)