cert-manager не обновляет пароль keystore до перевыпуска сертификата

Тестирование cert-manager v1.21.2 показало: после смены пароля keystore в Secret или в inline-поле файлы keystore.jks и keystore.p12 в целевом Secret остаются зашифрованными старым паролем, пока сертификат не будет выпущен заново. В течение 30 минут наблюдения Certificate сохранял статус Ready=True, хотя документация API обещает немедленное обновление файла.

• Проверена версия cert-manager v1.21.2 на одноузловом кластере kind
• Старый пароль работал весь 30-минутный период наблюдения
• Статус Certificate оставался Ready=True при устаревшем пароле
• Ручной перевыпуск через cmctl renew переключил keystore на новый пароль