feat: K8s 部署清单、Token 接入加固与日志/设置页优化

- kubernetes/: 30Gi PVC、单副本 Recreate、Secret/Service/NodePort/Ingress 清单与部署文档
- 数据安全: kubeconfig/token 统一加密存储，启动迁移历史明文，DB 0600
- Token 接入: 命名空间级最小权限提示、长期 Token、自签证书 TLS 兼容
- 部署: 命名空间级 Token 下跳过 Namespace patch/枚举，节点信息容错
- 日志页: namespace → app → pod 选择顺序与作用域收窄
- 设置页: 拆分为通用/告警/LDAP/镜像源四个 tab
- 弹框: 统一 max-h 滚动与长命令换行，修复内容溢出

frontend/src/pages/clusters/components/ClusterFormDialog.tsx

@@ -247,6 +247,89 @@ export const ClusterFormDialog = memo(function ClusterFormDialog({
                         </FormItem>
                       )}
                     />
+                    <details className="min-w-0 overflow-hidden rounded-md border bg-muted/30 px-3 py-2 text-xs">
+                      <summary className="cursor-pointer select-none font-medium">
+                        最小授权建议（点击展开）
+                      </summary>
+                      <div className="mt-2 min-w-0 space-y-2 break-words text-muted-foreground">
+                        <p>
+                          只授予 <code>log</code> 命名空间权限，Token 泄露也不会影响其他命名空间；
+                          <strong>不要使用 cluster-admin</strong>。
+                        </p>
+                        <p>
+                          一次性创建 <code>log</code> 命名空间、ServiceAccount、命名空间级 Role 和长期 Token
+                          （在集群里执行一次，Token 粘贴到下方输入框）：
+                        </p>
+                        <pre className="max-w-full overflow-x-auto whitespace-pre-wrap [overflow-wrap:anywhere] rounded bg-background p-2 font-mono text-[11px] leading-relaxed">{`# 1) 一次创建：命名空间 + SA + 命名空间级 Role + 长期 Token
+kubectl apply -f - <<'EOF'
+apiVersion: v1
+kind: Namespace
+metadata:
+  name: log
+---
+apiVersion: v1
+kind: ServiceAccount
+metadata:
+  name: opsx-loki
+  namespace: log
+---
+apiVersion: rbac.authorization.k8s.io/v1
+kind: Role
+metadata:
+  name: opsx-loki
+  namespace: log
+rules:
+  - apiGroups: [""]
+    resources: ["pods", "pods/log", "services", "configmaps", "secrets", "persistentvolumeclaims", "events", "serviceaccounts"]
+    verbs: ["get", "list", "watch", "create", "update", "patch", "delete"]
+  - apiGroups: ["apps"]
+    resources: ["statefulsets", "daemonsets", "deployments"]
+    verbs: ["get", "list", "watch", "create", "update", "patch", "delete"]
+  - apiGroups: ["networking.k8s.io"]
+    resources: ["ingresses"]
+    verbs: ["get", "list", "watch", "create", "update", "patch", "delete"]
+---
+apiVersion: rbac.authorization.k8s.io/v1
+kind: RoleBinding
+metadata:
+  name: opsx-loki
+  namespace: log
+subjects:
+  - kind: ServiceAccount
+    name: opsx-loki
+    namespace: log
+roleRef:
+  kind: Role
+  name: opsx-loki
+  apiGroup: rbac.authorization.k8s.io
+---
+apiVersion: v1
+kind: Secret
+metadata:
+  name: opsx-loki-token
+  namespace: log
+  annotations:
+    kubernetes.io/service-account.name: opsx-loki
+type: kubernetes.io/service-account-token
+EOF
+
+# 2) 取出长期 Token（不自动过期），粘贴到 Token 输入框
+kubectl -n log get secret opsx-loki-token -o jsonpath='{.data.token}' | base64 -d`}</pre>
+                        <p>
+                          上面的 Namespace 由管理员创建，平台 Token 本身没有任何集群级权限。
+                          只有确实需要平台自建命名空间时，才额外授予
+                          <code>namespaces: create/get</code> 的 ClusterRole；
+                          注意 namespace 的 create 无法按名称限制，所以预建 <code>log</code> 更安全。
+                        </p>
+                        <p>
+                          Token 长期有效，但只绑定 <code>log</code> 命名空间的 Role
+                          （仅能操作该命名空间的 Pod / 工作负载），泄露影响面仅限于 <code>log</code>；
+                          服务端会转成 kubeconfig 并用 <code>ENCRYPTION_KEY</code> 加密存储，
+                          数据库里只有 <code>ENC:</code> 密文，接口不返回明文。
+                          轮换时删除该 Secret 重建即可，旧 Token 立即失效。
+                        </p>
+                      </div>
+                    </details>
                   </TabsContent>
                 </Tabs>
               </FormControl>