registrytokenwire

type BuildConfig struct {
	// Logger — журнал причин отказа выдачи. Наружу тело фиксировано; без этого
	// поля причина не уходила никуда, и разные по природе отказы выглядели
	// одинаково. nil допустим — тогда журналирования нет.
	Logger *slog.Logger
	// Realm — the WWW-Authenticate realm URL advertised to docker clients
	// (e.g. https://api.kacho.local/iam/token). Must match the data-plane's
	// advertised Bearer realm.
	Realm string
	// Service — the default registry service name (→ requested token audience +
	// WWW-Authenticate service, e.g. registry.kacho.local).
	Service string
	// HydraTokenURL — the Hydra public token endpoint the shim POSTs the exchange
	// to (cluster-internal in production, e.g.
	// http://kacho-umbrella-hydra-public.<ns>.svc:4444/oauth2/token).
	HydraTokenURL string
	// AssertionAudience — the `aud` of the client_assertion: the Hydra token
	// endpoint URL Hydra recognises (its external issuer's token endpoint).
	AssertionAudience string
	// Scope — optional scope requested from Hydra.
	Scope string
	// AnonymousClientID / AnonymousKeyID / AnonymousPrivateKeyPEM — the configured
	// public-principal identity the shim authenticates as for anonymous pull (RG-1
	// D-7). The data-plane resolves this client_id's token to the FGA wildcard
	// `user:*`. Empty (the default) leaves anonymous pull DISABLED — no-Basic-creds
	// then fails closed to a 401 challenge (secure-by-default; anon is opt-in).
	// HydraTokenCAFile — the anchor the hop to the provider's token endpoint is
	// verified against, when the profile pins one. Empty ⇒ the default transport,
	// which is what a plaintext in-cluster address needs; the production boot guard
	// is what forbids claiming https without an anchor.
	HydraTokenCAFile       string
	AnonymousClientID      string
	AnonymousKeyID         string
	AnonymousPrivateKeyPEM string
	// Signer — НАШ подписант. nil означает «контур ещё на прежнем издателе»:
	// законное состояние до перевода, а не полусобранная зависимость.
	Signer *tokensigner.Signer
	// TokenTTL — срок выпускаемого токена контура. Слагаемое арифметики
	// отсрочки снятия ключа, поэтому объявлено числом, а не выведено.
	TokenTTL time.Duration

	// KeyMaterialWindowUntil — ОКНО ПЕРЕХОДА ЛОМАЮЩЕГО ИЗМЕНЕНИЯ #1143:
	// мгновение, до которого полоса ПРОДОЛЖАЕТ принимать ключевой материал в
	// поле пароля наряду с базовым токеном доступа. Нулевое — окна нет
	// (умолчание, fail-closed).
	//
	// Приезжает РАЗОБРАННЫМ из настройки: разбор живёт у стража старта, а не
	// здесь, иначе неразборчивое значение доживало бы до первого входа клиента.
	// Разбор нормы, цена обоих умолчаний и предикат снятия —
	// registry_token/key_material_window.go.
	KeyMaterialWindowUntil time.Time

	// CredentialKindObserver — счётчик исходов полос по виду предъявленного
	// удостоверения. nil → счёта нет; решения полосы это не меняет.
	//
	// Единственное НАБЛЮДАЕМОЕ различие между закрытым и открытым окном: наружу
	// оба отвечают одинаково (различимость снаружи была бы оракулом посадки).
	// Без него оператор не знает ни скольких ломает закрытое окно, ни когда
	// открытое можно закрыть.
	CredentialKindObserver registrytokenuc.CredentialKindObserver
}

type HydraExchangeAdapter struct {
	// contains filtered or unexported fields
}

type LocalMintAdapter struct {
	// contains filtered or unexported fields
}

type SAClientLookupAdapter struct {
	// contains filtered or unexported fields
}