registrytokenwire

type BuildConfig struct {
	// Logger — журнал причин отказа выдачи. Наружу тело фиксировано; без этого
	// поля причина не уходила никуда, и разные по природе отказы выглядели
	// одинаково. nil допустим — тогда журналирования нет.
	Logger *slog.Logger
	// Realm — the WWW-Authenticate realm URL advertised to docker clients
	// (e.g. https://api.kacho.local/iam/token). Must match the data-plane's
	// advertised Bearer realm.
	Realm string
	// Service — the default registry service name (→ requested token audience +
	// WWW-Authenticate service, e.g. registry.kacho.local).
	Service string
	// Scope — объём, который полоса кладёт в выпускаемый токен (пусто — не
	// кладёт).
	Scope string
	// AnonymousClientID — объявленный публичный принципал анонимного чтения
	// (RG-1 D-7): субъект токена, который приёмная сторона резолвит в
	// подстановочного `user:*`. Пусто (умолчание) — анонимный поток ВЫКЛЮЧЕН, и
	// вход без удостоверения получает 401-вызов (secure-by-default).
	AnonymousClientID string
	// AnonymousPerSourcePerSec — темп анонимной выдачи: входов без
	// удостоверения в секунду на источник, на процесс (kaname#928).
	AnonymousPerSourcePerSec int
	// Source — адрес источника запроса по правилу поверхности выдачи
	// (`internal/issuingsource`, Р7): ключ темпа анонимной выдачи.
	Source func(*http.Request) string
	// Signer — НАШ подписант, ЕДИНСТВЕННЫЙ издатель полосы. Обязателен: без него
	// сборка отказывает (kaname#494), другого издателя у полосы нет.
	Signer *tokensigner.Signer
	// TokenTTL — срок выпускаемого токена контура. Слагаемое арифметики
	// отсрочки снятия ключа, поэтому объявлено числом, а не выведено.
	TokenTTL time.Duration

	// KeyMaterialWindowUntil — ОКНО ПЕРЕХОДА ЛОМАЮЩЕГО ИЗМЕНЕНИЯ kacho#1143:
	// мгновение, до которого полоса ПРОДОЛЖАЕТ принимать ключевой материал в
	// поле пароля наряду с базовым токеном доступа. Нулевое — окна нет
	// (умолчание, fail-closed).
	//
	// Приезжает РАЗОБРАННЫМ из настройки: разбор живёт у стража старта, а не
	// здесь, иначе неразборчивое значение доживало бы до первого входа клиента.
	// Разбор нормы, цена обоих умолчаний и предикат снятия —
	// registry_token/key_material_window.go.
	KeyMaterialWindowUntil time.Time

	// CredentialKindObserver — счётчик исходов полос по виду предъявленного
	// удостоверения. nil → счёта нет; решения полосы это не меняет.
	//
	// Единственное НАБЛЮДАЕМОЕ различие между закрытым и открытым окном: наружу
	// оба отвечают одинаково (различимость снаружи была бы оракулом посадки).
	// Без него оператор не знает ни скольких ломает закрытое окно, ни когда
	// открытое можно закрыть.
	CredentialKindObserver registrytokenuc.CredentialKindObserver

	// BasicCredentialTimeout — предел ОДНОГО обращения авторитета о базовом
	// секрете к базе (kaname#379). Обязателен: без него сборка отказывает.
	//
	// Предел подаётся авторитету, а не ставится этой полосой у своего вызова:
	// у авторитета вызывающих больше одного, и оператор у них один. Величину
	// объявляет композиционный корень — ту же, что у полос выдачи токена:
	// для строки удостоверения человека оператор читает и отсечку
	// отзыва-всех.
	BasicCredentialTimeout time.Duration
}

type LocalMintAdapter struct {
	// contains filtered or unexported fields
}

type SAClientLookupAdapter struct {
	// contains filtered or unexported fields
}