domain

const (
	// AppManagedByLabel / AppManagedByCICD 는 CI/CD 모듈이 만든 리소스의 표시다.
	AppManagedByLabel = "app.kubernetes.io/managed-by"
	AppManagedByCICD  = "nullus-cicd"

	// AppImagePullSecretName 은 앱별 이름 이전에 만든 파이프라인의 pull 자격증명이다. 네임스페이스에
	// 하나라 같은 네임스페이스의 다음 앱이 덮어썼다. 그 전에 만든 Deployment 가 아직 이 이름을 참조하므로
	// 백업은 계속 담는다. 새 파이프라인은 AppImagePullSecretNameFor 를 쓴다.
	AppImagePullSecretName = "nullus-registry" // #nosec G101 -- Secret 리소스 이름

	// AppImagePullSecretType 은 pull 자격증명 Secret 의 종류다. 백업이 라벨과 함께 이것으로 고른다.
	AppImagePullSecretType = "kubernetes.io/dockerconfigjson" // #nosec G101 -- Secret 종류 이름
)

const (
	DefaultVulnerabilityPageSize = 50
	MaxVulnerabilityPageSize     = 200
)

const (
	VulnerabilityListAvailable   = "available"
	VulnerabilityListUnavailable = "unavailable"

	// VulnerabilityReasonReportExpired 는 CI 리포트가 보관 기간이 지나 사라졌다는 뜻이다.
	VulnerabilityReasonReportExpired = "report_expired"
	// VulnerabilityReasonReportMissing 은 이 스캔에 리포트 위치가 기록되지 않았다는 뜻이다.
	VulnerabilityReasonReportMissing = "report_missing"
	// VulnerabilityReasonCIUnreachable 은 CI 서버에 닿지 못했다는 뜻이다.
	VulnerabilityReasonCIUnreachable = "ci_unreachable"
	// VulnerabilityReasonNotRecorded 는 목록 기능 전에 스캔해 목록이 없다는 뜻이다.
	VulnerabilityReasonNotRecorded = "not_recorded"
)

const (
	// PostgresReleaseName 은 플랫폼이 설치하는 PostgreSQL 릴리스다.
	PostgresReleaseName = "nullus-postgresql"
	// MinIOReleaseName 은 플랫폼이 설치하는 MinIO 릴리스다.
	MinIOReleaseName = "nullus-minio"
	// SeaweedFSReleaseName 은 MinIO 대신 고를 수 있는 S3 호환 스토리지 릴리스다.
	SeaweedFSReleaseName = "nullus-seaweedfs"
)

const (
	// OTelCollectorReleaseName 은 게이트웨이 수집기의 릴리스명이다.
	//
	// 차트 이름(opentelemetry-collector)을 그대로 쓰지 않는 이유는 추적 계층
	// 단계가 같은 차트를 설치할 수 있어 릴리스명이 충돌하기 때문이다.
	OTelCollectorReleaseName = "otel-collector"
	// OTelAgentReleaseName 은 노드마다 서는 로그 수집 에이전트의 릴리스명이다.
	OTelAgentReleaseName = "otel-agent"

	// OTLP 수신 포트. 차트 기본값이며 애플리케이션이 붙는 지점이다.
	OTelCollectorOTLPGRPCPort = 4317
	OTelCollectorOTLPHTTPPort = 4318

	// TrivyReleaseName 은 이미지 취약점 스캐너의 릴리스명이다.
	//
	// stack 은 이 이름으로 차트를 설치하고, cicd 는 CI 잡이 붙을 주소를 만든다.
	// OTLP 와 같은 이유로 규칙을 여기 둔다.
	TrivyReleaseName = "trivy"
	// TrivyServicePort 는 client 가 CVE 매칭을 요청하는 포트다.
	// aqua/trivy 차트의 service.port 기본값과 같아야 한다.
	TrivyServicePort = 4954
)

const (
	SonarQubeReleaseName = "sonarqube"
	// SonarQubeServicePort 는 차트 Service 의 포트다(service.externalPort).
	SonarQubeServicePort = 9000
	// SonarQubeAnalysisTokenPath 는 CI 가 분석에 쓸 토큰의 OpenBao 경로 접미사다.
	// 스택 설치(provisioning_sonarqube)가 발급해 쓰고, cicd 가 파이프라인을 만들 때 읽는다.
	SonarQubeAnalysisTokenPath = "security/sonarqube/analysis-token"
)

const (
	// 오브젝트 스토리지 이미지는 MinIO 포크인 SILO(pgsty/silo)에서 받는다.
	//
	// MinIO 는 Docker Hub 배포를 멈춘 데 이어(docker.io/minio/* 거절) quay.io 저장소도
	// 익명 pull 을 막았다 — 2026-10-17 실측: quay.io/minio/minio 와 quay.io/minio/mc 가
	// `latest` 든 고정 RELEASE 태그든 401 unauthorized 다. 받을 수 있는 출처가 없어
	// 로컬 인프라 기동과 스택 설치(installing_minio)가 처음부터 멈춘다.
	//
	// SILO 는 MinIO 서버의 커뮤니티 포크다(AGPL-3.0, MinIO Inc. 와 무관). 라이선스는
	// 업스트림과 같으므로 AGPL 의무는 그대로다 — 해결되는 것은 "받을 수 없다" 뿐이다.
	// 데이터 포맷(.minio.sys)·환경변수(MINIO_*)·프로토콜(minio_* 메트릭, x-minio-* 헤더,
	// /minio/* 경로)을 그대로 유지하므로 설치 코드와 클라이언트는 손대지 않는다.
	//
	// MinIOServerImage — 스택 오브젝트 스토리지(installing_minio). 차트 기본값이
	// quay.io 를 가리키므로 values 로 덮는다.
	MinIOServerImage = "docker.io/pgsty/silo:RELEASE.2026-10-15T00-00-00Z"

	// MinIOClientImage — MinIO 차트의 버킷 훅(mcImage). 차트 기본값이 quay.io 라 덮는다.
	//
	// GitLab 버킷 부트스트랩 Job 은 더 이상 이것을 쓰지 않는다 — 구현체를 갈아
	// 끼울 수 있게 S3 CreateBucket 을 curl 로 직접 부른다(CurlImage).
	MinIOClientImage = "docker.io/pgsty/mc:RELEASE.2026-09-16T00-00-00Z"

	// SeaweedFSImage — 스택 오브젝트 스토리지의 다른 구현체(installing_seaweedfs).
	// Apache-2.0 이고 상류가 amd64·arm64 를 함께 낸다. 태그는 차트 appVersion 과 같게 둔다
	// (domain.SeaweedFSAppVersion) — 차트 기본값도 같은 태그지만, 출처를 values 로 못박아
	// 에어갭 번들과 같은 참조를 보게 한다.
	SeaweedFSImage = "docker.io/chrislusf/seaweedfs:4.48"

	// CurlImage — Harbor·Nexus 프로비저닝 Job 이 REST API 를 호출한다.
	// (internal/stack/adapter/helm/{harbor,nexus}-provisioning.go)
	CurlImage = "curlimages/curl:8.11.1"

	// KubectlImage — OpenBao init/bootstrap 사이드카.
	// (internal/stack/adapter/helm/openbao-values.go)
	KubectlImage = "docker.io/bitnamilegacy/kubectl:1.33.4"

	// NodeBuilderImage — 생성된 React 앱 Dockerfile 의 빌드 단계.
	// 파이프라인이 클러스터 안에서 이 이미지로 빌드한다.
	// (internal/cicd/adapter/scaffold/react_app.go)
	NodeBuilderImage = "node:22-alpine"

	// JenkinsAgentImage — Jenkins kubernetes 플러그인이 빌드마다 띄우는 파드.
	// GitLab CI 와 달리 실행기를 차트로 세우지 않는다.
	// (internal/cicd/adapter/scaffold/jenkins_renderer.go)
	JenkinsAgentImage = "docker:27-cli"

	// DindImage — 이미지 빌드용 docker 데몬. Jenkins 빌드 파드의 사이드카이자
	// GitLab build 잡의 서비스다.
	// (internal/cicd/adapter/scaffold/{jenkins_renderer,renderer}.go)
	DindImage = "docker:27-dind"

	// GitLabCIBuildImage / GitLabCIDeployImage — 생성된 .gitlab-ci.yml 의 build·deploy 잡.
	// 쿠버네티스 실행기가 잡마다 이 이미지로 파드를 띄운다.
	// (internal/cicd/adapter/scaffold/renderer.go)
	GitLabCIBuildImage  = "docker:27"
	GitLabCIDeployImage = "alpine:3.20"

	// TrivyCLIImage — 파이프라인 이미지 스캔 단계의 Trivy CLI. 취약점 DB 는 들어 있지 않다 —
	// client 로 붙어 스택 Trivy 서버에 매칭을 맡긴다. 에어갭 번들은 Trivy 차트가 같은 태그를
	// 이미 싣는다(images.txt). RuntimeImages 에 넣지 않는 이유다 — 넣으면 생성기가 두 번 싣는다.
	// 정책 변수와 함께 CI 에 밀린다(port.ScanPolicyVariables) — 올리면 파이프라인 정의를
	// 다시 쓰지 않아도 다음 실행부터 따라온다.
	// (internal/cicd/adapter/scaffold/image_scan.go)
	TrivyCLIImage = "aquasec/trivy:0.74.0"

	// SonarScannerImage — 파이프라인 SAST 단계(GitLab CI·GitHub Actions·Jenkins). 공식
	// sonarsource/sonar-scanner-cli 는 amd64 빌드만 게시해(Docker Hub 전 태그 실측, 2026-10)
	// arm64 노드와 에어갭 arm64 번들에서 단계가 서지 않았다 — 플랫폼 독립 스캐너 zip 을 멀티아치
	// JRE 위에 우리가 굽는다(deploy/images/sonar-scanner, CD 의 build-and-push-sonar-scanner,
	// 로컬은 scripts/build-sonar-scanner-image.sh). 태그는 Dockerfile 의 스캐너 버전-이미지 리비전이다
	// (scripts/sonar-scanner-image-tag.sh, 테스트가 둘을 묶는다) — 같은 버전에서 내용이 바뀌면 리비전이
	// 올라 태그가 바뀐다. ghcr 패키지는 처음 만들어질 때 private 이므로 public 으로 바꿔야
	// 익명 pull 이 된다(릴리즈 정책 §7.1).
	// (internal/cicd/adapter/scaffold/sast.go)
	SonarScannerImage = "ghcr.io/cloud-nullus/nullus/nullus-sonar-scanner:8.1.0.6389-2"

	// GitleaksImage 는 파이프라인 시크릿 탐지 단계가 쓰는 gitleaks 다(nullus-plan#80). 상류가
	// amd64·arm64 를 모두 내므로 그대로 쓴다. 태그는 앱 저장소에 넣는 pre-commit 훅의 rev 와
	// 같아야 한다(scaffold.gitleaksVersionTag 가 여기서 뽑는다) — 로컬과 CI 가 같은 규칙을 봐야 한다.
	GitleaksImage = "ghcr.io/gitleaks/gitleaks:v8.30.1"
)

const (
	// LabelInstalledBy 는 Nullus 가 새로 설치한 공용 자원의 표시다. 설치는 클러스터에 이미
	// 있던 것을 재사용하므로, 새로 깐 것에만 달아 둘을 가른다.
	LabelInstalledBy  = "nullus.io/installed-by"
	InstalledByNullus = "nullus"

	// 내부 CA — 설치가 cert-manager 단계에서 만든다. 이름이 Nullus 전용이라 표시 없이도 Nullus
	// 것이다. CA Secret 은 cert-manager 가 설치된 네임스페이스(cluster-resource-namespace)에 있다.
	InternalCABootstrapIssuerName = "nullus-selfsigned-bootstrap"
	InternalCAIssuerName          = "nullus-internal-ca-issuer"
	InternalCACertName            = "nullus-internal-ca-cert"
	InternalCASecretName          = "nullus-internal-ca"

	// EnvoyGatewayClassName 은 설치기가 만드는 GatewayClass 다.
	EnvoyGatewayClassName      = "envoy"
	EnvoyGatewayControllerName = "gateway.envoyproxy.io/gatewayclass-controller"

	// CertManagerCRDSuffix 는 cert-manager CRD 의 API 그룹이다(acme.cert-manager.io 포함).
	CertManagerCRDSuffix = ".cert-manager.io"
)

const DefaultStackNamespace = "nullus"

const RestoredFromBackupAnnotation = "backup.nullus.io/restored-from"

const SeededDefaultOrgID = "11111111-1111-1111-1111-111111111111"

const StaleDBAge = 30 * 24 * time.Hour

const TrivyClientImage = "aquasec/trivy:0.74.0"