feat: add Kopia UI for VolSync backup repository browsing

[ixxeL2097]

Overview

Deploy the Kopia web UI as a read-only browser for VolSync backup repositories, providing a visual way to inspect, verify, and restore from backups without CLI access.

Context

VolSync is already deployed on genmachine using the Restic/Kopia backend. Currently the only way to inspect backup content is via CLI (restic snapshots, kopia snapshot list). A web UI makes backup health verification straightforward.

What Kopia UI provides

• Browse snapshots per application (by backup path)
• View files within a snapshot
• Verify snapshot integrity
• Estimate restore size before executing
• Simple web interface accessible via Ingress

Implementation

containers:
  - name: kopia
    image: kopia/kopia:latest
    args:
      - server
      - start
      - --insecure
      - --address=0.0.0.0:51515
      - --server-username=admin
      - --server-password=$(KOPIA_PASSWORD)
    volumeMounts:
      - name: backup-repository
        mountPath: /repository
        readOnly: true
volumes:
  - name: backup-repository
    # Mount the same NFS/S3/storage used by VolSync ReplicationSources
    nfs:
      server: nas.fredcorp.com
      path: /volsync

The Kopia pod mounts the same backup destination as the VolSync ReplicationSource (read-only) and exposes a web UI at kopia.fredcorp.com.

Reference

• Inspired by szinn/k8s-homelab kopia deployment
• Manifest location: gitops/manifests/kopia/

[ixxeL2097]

Implémentation proposée — PR #1531

Une première PR est disponible : #1531

Ce qui est fait

Kopia server + UI

• Chart Helm custom dans gitops/manifests/kopia/genmachine/
• Déployé via ArgoCD (ApplicationSet infra-storage)
• Exposé sur https://kopia.talos-genmachine.fredcorp.com
• Init container qui connecte (ou crée) le repository S3 au démarrage
• CA custom (fredcorp-ca-chain) pour valider le TLS de MinIO
• PVC NFS (192.168.1.250:/volatile/kopia) pour le cache Kopia

MinIO

• Buckets kopia et restic ajoutés dans les values pour qu'ils soient créés automatiquement par le chart

VolSync — backups parallèles

ReplicationSource Kopia ajoutées en parallèle des existantes restic (sans toucher aux existantes) pour :

App	PVC	Schedule
wireguard	wireguard-wg-portal	mer 01h00
vault	data-vault-0	mer 01h00
adguard	pvc-adguard-data	mer 04h00
homarr	homarr-database	quotidien 03h00
authentik	pvc-authentik-pgsql-data	lun+jeu 04h00

Vault secrets à créer avant le déploiement

kopia/repo/minio-backup → password   # chiffrement repository Kopia
kopia/server            → password   # mot de passe UI admin

Point à vérifier

Le mover Kopia de VolSync (spec.kopia) doit être confirmé supporté en v0.15.0 et le format exact des env vars dans le secret kopia-config validé. Les backups restic existants ne sont pas impactés dans tous les cas.

Étape suivante (hors scope PR)

Une fois les backups Kopia validés sur quelques semaines → supprimer les ReplicationSource restic et migrer complètement.