ids

const (
	PrefixCloud         = "b1g"
	PrefixFolder        = "b1g"
	PrefixOrganization  = "bpf"
	PrefixNetwork       = "net"
	PrefixSubnet        = "sub"
	PrefixAddress       = "adr"
	PrefixRouteTable    = "rtb"
	PrefixSecurityGroup = "sgr"
	PrefixGateway       = "gtw"

	// NetworkInterface и AddressPool — собственные prefix'ы, централизованные здесь.
	PrefixNetworkInterface = "nic"
	PrefixAddressPool      = "apl"

	// AnycastAddressPool — tenant-facing пул anycast-VIP, привязываемый к Network
	// (M:N); собственный resource-prefix, чтобы id-парсеры отличали его от обычного
	// AddressPool (`apl`).
	PrefixAnycastPool = "aap"

	// compute: Instance/Disk делят `epd`, Image/Snapshot делят `fd8` (зеркалит
	// VPC-группировку); все compute-операции получают `epd` (== PrefixInstance),
	// чтобы api-gateway opsproxy мог одним правилом маршрутизировать Operation.Get.
	PrefixInstance = "epd"
	PrefixDisk     = "epd"
	PrefixImage    = "fd8"
	PrefixSnapshot = "fd8"

	// storage (kacho-storage): собственный storage-домен, отдельный от compute.
	// Volume — block-volume нового домена (`vol`); это НЕ epd-Disk, а отдельный
	// ресурс со своим prefix'ом. StorageSnapshot — snapshot storage-домена
	// (`snp`), отдельно от compute PrefixSnapshot (`fd8`). DiskType — человеко-
	// читаемый slug (НЕ NewID-prefix), поэтому своей константы не требует.
	PrefixVolume          = "vol"
	PrefixStorageSnapshot = "snp"
	// PrefixStorageImage — storage boot-image (`img`), отдельно от compute
	// PrefixImage (`fd8`). storage Image.Create эмитит `img<17>` через
	// NewID(domain.PrefixImage="img"); БЕЗ регистрации здесь well-formed `img`-id
	// отвергался бы authz-edge api-gateway (corevalidate.ResourceID → 400 "invalid
	// resource id 'img…'") на КАЖДОМ Get/Update/Delete образа (#59 storage-image).
	PrefixStorageImage = "img"

	// nlb: LoadBalancer/Listener/TargetGroup получают каждый свой 3-char
	// префикс — opsproxy в api-gateway маршрутизирует по PrefixOperationNLB
	// (== PrefixLoadBalancer), но resource-prefix у Listener/TargetGroup
	// отдельный, чтобы id-парсеры могли отличать тип ресурса по prefix-у
	// (в отличие от vpc, где Subnet/Address делят `e9b` — там тип
	// определяется контекстом URL-path).
	PrefixLoadBalancer = "nlb"
	PrefixListener     = "lst"
	PrefixTargetGroup  = "tgr"

	// apps (PaaS): Application получает свой 3-char resource-prefix `app`;
	// apps-домен Operation получает отдельный стабильный op-prefix `aop`
	// (декаплен от ресурса, как enp/epd) — api-gateway opsproxy маршрутизирует
	// Operation.Get по первым 3 символам.
	PrefixApplication = "app"

	// registry: Registry (namespace OCI-реестра поверх zot) получает `reg` как
	// resource-prefix; registry-домен Operation — отдельный стабильный op-prefix
	// `rop` (декаплен от ресурса), по которому api-gateway opsproxy маршрутизирует
	// Operation.Get к kacho-registry. Repository/Tag — read-only проекция из zot,
	// собственного id-prefix не имеют (адресуются именем внутри namespace).
	PrefixRegistry     = "reg"
	PrefixOperationReg = "rop"

	// Operation prefix per service-domain — отдельный, стабильный per-домен
	// prefix, по которому gateway opsproxy маршрутизирует Operation.Get.
	//
	// PrefixOperationVPC зафиксирован как `enp` (vpc-op-root), декаплен от
	// PrefixNetwork — opsproxy.prefixToBackend["enp"]="vpc" остается неизменным,
	// существующие enp-операции в БД продолжают роутиться.
	PrefixOperationRM      = PrefixCloud        // resource-manager (legacy): b1g
	PrefixOperationVPC     = "enp"              // vpc op-root (декаплен от PrefixNetwork)
	PrefixOperationCompute = PrefixInstance     // compute: epd
	PrefixOperationNLB     = PrefixLoadBalancer // nlb: nlb
	PrefixOperationApps    = "aop"              // apps op-root (декаплен от PrefixApplication)
	PrefixOperationStorage = "sop"              // storage op-root (декаплен от PrefixVolume; opsproxy sop→storage)
)

const (
	// PrefixMachineTypeHyphen — compute MachineType (`mt-…`, 2-char prefix;
	// COMP-1 F7). NewHyphenID("mt") → "mt-<17-base32>".
	PrefixMachineTypeHyphen = "mt"
	// PrefixInstanceHyphen — compute Instance редизайна (`ins-…`, COMP-1 F8);
	// замещает legacy слитный PrefixInstance (`epd`, делит с Disk) для новых
	// инстансов монорепо project/kacho. NewHyphenID("ins") → "ins-<17-base32>".
	PrefixInstanceHyphen = "ins"
	// PrefixInteractiveClientHyphen — iam InteractiveClient (IAM-INT-1): клиент
	// интерактивного входа человека, admin-only ресурс Internal*-сервиса.
	// NewHyphenID("ic") → "ic-<17-base32>" (20 символов). Двухсимвольный prefix
	// — в пределах 2..3 инварианта NewHyphenID (как `mt`).
	PrefixInteractiveClientHyphen = "ic"
	// PrefixCidrGroupHyphen — vpc CidrGroup (`cdg-…`): именованный набор
	// префиксов, на который ссылается правило группы безопасности.
	// NewHyphenID("cdg") → "cdg-<17-base32>".
	//
	// Почему не `grp`/`aps`: `grp` занят группой iam, а имя ресурса выбрано
	// `CidrGroup` (§9.1.0 плана) — `Cidr` уже слово этого продукта, поэтому и
	// префикс выведен из него, а не придуман.
	PrefixCidrGroupHyphen = "cdg"
	// PrefixLimitHyphen — iam Limit (`lim-…`): величина потолка на число
	// ресурсов арендатора, назначаемая администратором на одной из трёх областей
	// видимости (умолчание · аккаунт · проект). NewHyphenID("lim") →
	// "lim-<17-base32>".
	//
	// Почему iam, а не отдельный домен: предел — свойство арендатора, он
	// заводится вместе с проектом и умирает вместе с ним, а iam уже владеет
	// Account/Project и уже является leaf'ом для каждого сервиса (приёмка
	// vpc-quota, Р1).
	PrefixLimitHyphen = "lim"
	// PrefixMembershipHyphen — iam Membership (`mbr-…`): принадлежность человека
	// аккаунту как ОТДЕЛЬНАЯ связь, которых у глобальной личности бывает
	// несколько (IAM-ID-1/IAM-ID-2).
	//
	// Чеканит его НЕ `NewHyphenID`, а неизменяемая SQL-функция
	// `kaname.membership_mirror_id` — `'mbr-' || substr(md5(…), 1, 17)`:
	// писателей строки членства больше одного (триггер зеркала и два стейтмента
	// репозитория), и все они обязаны прийти к ОДНОЙ строке на одну пару
	// «человек × аккаунт». Шестнадцатеричные цифры md5 — подмножество крокфордова
	// алфавита этого продукта, поэтому тело остаётся в алфавите канона.
	//
	// Запись здесь обязательна и не косметическая: без неё `validate.ResourceID`
	// отвергал бы корректный идентификатор, который сам же продукт и произвёл, —
	// то есть одиночное чтение членства отвечало бы `INVALID_ARGUMENT` на всяком
	// входе (тот же класс, что уже ловили на пределе арендатора выше).
	PrefixMembershipHyphen = "mbr"
	// PrefixAccessKeyHyphen — iam AccessKey (`ak-…`): ключ доступа человека
	// (WebAuthn), ресурс со своей строкой, своими глаголами и своим потолком
	// (iam Ф7, PRO-Robotech/kacho#1273; приёмка `access-keys-are-ours.md`, Р10).
	// NewHyphenID("ak") → "ak-<17-base32>" (20 символов): двухсимвольный prefix,
	// как `ic`.
	//
	// Идентификатор удостоверения WebAuthn адресом НЕ является — это байты
	// нормы, которые выбирает аутентификатор; наружу ключ назван только этим
	// `id`. Запись здесь обязательна по тому же классу, что у `lim` и `mbr`:
	// без неё `validate.ResourceID` отвергал бы корректный `id`, который сама
	// служба и выдала, и снятие ключа отвечало бы `INVALID_ARGUMENT` на всяком
	// входе.
	PrefixAccessKeyHyphen = "ak"
	// PrefixTokenFamilyHyphen — iam семейство токенов (`tfm-…`): грант OAuth 2.0
	// службы доступа, под ключом которого живут код авторизации, токен доступа
	// и токен обновления одной выдачи и по которому семейство отзывается
	// целиком. NewHyphenID("tfm") → "tfm-<17-base32>" (21 символ).
	//
	// Ключ чеканит служба крючком церемонии `oauthceremony.Config.NewGrantID`,
	// и чеканит ИМЕННО NewHyphenID: слитная NewID("tfm") даёт `tfm<17>` без
	// дефиса, и ограничение схемы служебной таблицы семейств (`^tfm-…`)
	// отвергало бы вставку на каждой выдаче кода. Запись в каноне обязательна по
	// тому же классу, что у `lim`, `mbr` и `ak`: без неё `validate.ResourceID`
	// отвергал бы корректный ключ, который служба сама и выдала.
	PrefixTokenFamilyHyphen = "tfm"
	// PrefixHumanSessionHyphen — iam запись сессии человека (`hss-…`): одна
	// сессия входа человека в службе доступа. NewHyphenID("hss") →
	// "hss-<17-base32>" (21 символ).
	//
	// Идентификатор — АДРЕС: перечень своих сессий его называет, выход из
	// выбранной сессии его принимает (PRO-Robotech/kaname#634). Запись в каноне
	// обязательна по тому же классу, что у `lim`, `mbr`, `ak` и `tfm`: без неё
	// `validate.ResourceID` отвергал бы корректный идентификатор, который служба
	// сама и выдала, и выход из выбранной сессии отвечал бы `INVALID_ARGUMENT`
	// на всяком входе.
	PrefixHumanSessionHyphen = "hss"
)