diff --git a/infrastructure/security-audit/README.md b/infrastructure/security-audit/README.md
index 5bde1e4..5535571 100644
--- a/infrastructure/security-audit/README.md
+++ b/infrastructure/security-audit/README.md
@@ -17,7 +17,7 @@
 | Каталог | Что | Namespace |
 |---|---|---|
 | `base/` | оба коллектора, NetworkPolicy, AuthorizationPolicy, Namespace | `security-audit` |
-| `base/idp-actions-bootstrap/` | Job настройки Target/Execution'ов в Zitadel, скрипт и список событий | `security-audit` |
+| `base/idp-actions-bootstrap/` | Job настройки Target/Execution'ов в Zitadel, скрипт и список событий (**сейчас отключён** в `base/kustomization.yaml` — отложено, нет PAT) | `security-audit` |
 | `mesh/` | EnvoyFilter и Telemetry шлюза; без `namespace` в kustomization, селектор шлюза — заглушка | `istio-system` |
 | `uralkal/` | оверлей: `base` + `mesh`, селектор шлюза, Kafka, `dependsOn` | — |
 | `../vault/uralkal-audit/` | Vault-часть журнала аудита Vault: оверлей поверх `vault/uralkal` (не подключён) | `vault` |
diff --git a/infrastructure/security-audit/base/kustomization.yaml b/infrastructure/security-audit/base/kustomization.yaml
index 12d05af..16a474e 100644
--- a/infrastructure/security-audit/base/kustomization.yaml
+++ b/infrastructure/security-audit/base/kustomization.yaml
@@ -8,4 +8,8 @@ resources:
   - authorizationpolicy-access-collector.yaml
   - helmrelease-collector.yaml
   - helmrelease-access-collector.yaml
-  - idp-actions-bootstrap
+  # События Zitadel отложены: нет PAT machine user'а security-audit-bootstrap (роли в Vault нет,
+  # статический Secret не заведён). Обратное включение: раскомментировать здесь и патч
+  # idp-actions-bootstrap.yaml в оверлее uralkal, добавить ключ zitadel_pat в Secret.
+  # Пайплайн logs/idp в access-collector при этом инертен: без Job Target в Zitadel не создаётся.
+  # - idp-actions-bootstrap
diff --git a/infrastructure/security-audit/uralkal/kustomization.yaml b/infrastructure/security-audit/uralkal/kustomization.yaml
index c2a9067..b805ff9 100644
--- a/infrastructure/security-audit/uralkal/kustomization.yaml
+++ b/infrastructure/security-audit/uralkal/kustomization.yaml
@@ -6,7 +6,8 @@ resources:
 patches:
   - path: audit-collector.yaml
   - path: access-collector.yaml
-  - path: idp-actions-bootstrap.yaml
+  # События Zitadel отложены (нет PAT); включать вместе с idp-actions-bootstrap в base/kustomization.yaml.
+  # - path: idp-actions-bootstrap.yaml
   # Селектор ingress-шлюза (HelmRelease istio-system/ingressgateway): replace, а не merge —
   # merge-patch CRD оставил бы и заглушку security-audit/gateway.
   - target: