helm

const (
	// ESOChartName / ESOChartRepo / ESOChartVersion 은 공식 External Secrets
	// Operator 차트다. 컨트롤러·웹훅·cert-controller 를 코드 수정 없이 그대로
	// 사용하며, Nullus 가 작성하는 것은 SecretStore/ExternalSecret 뿐이다.
	ESOChartName    = "external-secrets"
	ESOChartRepo    = "https://charts.external-secrets.io"
	ESOChartVersion = "2.7.0"

	// ESONamespace 는 ESO 를 깔 클러스터 공용 네임스페이스다.
	//
	// 스택 네임스페이스에 깔면 그 네임스페이스를 지울 수 없게 된다. ESO 는 자기가
	// 만든 ExternalSecret 에 externalsecret-cleanup finalizer 를 붙이고 그것을 뗄 수
	// 있는 것은 ESO 컨트롤러뿐인데, `kubectl delete namespace` 는 파드와
	// ExternalSecret 을 병렬로 지운다 — 컨트롤러가 먼저 죽으면 finalizer 가 영구히
	// 남아 네임스페이스가 Terminating 에서 끝나지 않는다(2026-10-17 실측: 22분 뒤에도
	// 그대로였고 finalizer 를 손으로 비우니 즉시 끝났다).
	//
	// 공용 네임스페이스에 두면 컨트롤러가 스택 네임스페이스보다 오래 살아 finalizer 를
	// 스스로 뗀다. cert-manager(cert-manager)·metrics-server(kube-system) 가 같은
	// 이유로 자기 네임스페이스를 못박고 있다. ESO 의 CRD·검증 웹훅도 원래 클러스터에
	// 하나뿐이라 스택마다 깔 이유가 없었다.
	ESONamespace = "external-secrets"

	// ESOSecretStoreName 은 스택 네임스페이스에 만드는 SecretStore 이름이다.
	// 스택이 단일 네임스페이스에 설치되므로 ClusterSecretStore 는 쓰지 않는다.
	ESOSecretStoreName = "nullus-openbao"
)

const (

	// OpenBaoKVMount 는 KV v2 시크릿 엔진의 마운트 이름이다.
	//
	// 경로 규약(`kv/nullus/{env}/{org}/...`)과 실제 마운트를 일치시키기 위해
	// "secret" 이 아니라 "kv" 로 마운트한다. 운영 모드는 dev 모드와 달리
	// 엔진이 자동 마운트되지 않으므로 부트스트랩에서 명시적으로 활성화한다.
	OpenBaoKVMount = "kv"

	// OpenBao Kubernetes Auth role 이름
	OpenBaoControllerRole = "nullus-controller"
	OpenBaoESORole        = "nullus-eso"

	// role 에 바인딩되는 ServiceAccount 이름
	OpenBaoControllerServiceAccount = "nullus-controller"
	OpenBaoESOServiceAccount        = "external-secrets"
)

const (

	// OpenBaoKeyShares / OpenBaoKeyThreshold 기본값은 1/1 이다.
	// auto-unseal 구성에서는 threshold 를 채우는 데 필요한 모든 조각이
	// 어차피 같은 Secret 안에 있으므로, 분할이 런타임 보안을 높이지 않고
	// 복잡도만 늘린다. 오프라인 백업본을 여러 관리자에게 나누려는 조직만
	// 이 값을 올리면 된다.
	OpenBaoKeyShares    = 1
	OpenBaoKeyThreshold = 1
)

const (
	// OpenBaoImageRepository / OpenBaoImageTag 는 OpenBao 이미지를 고정한다.
	// 에어갭 번들은 재현 가능해야 하므로 latest 같은 mutable 태그를 쓰지 않는다.
	OpenBaoImageRepository = "openbao/openbao"
	OpenBaoImageTag        = "2.5.5"

	// OpenBaoKubectlImage 는 init Job 이 K8s Secret 을 만들 때 사용하는 이미지다.
	// OpenBao 이미지에는 kubectl 이 없어 별도 컨테이너가 필요하다.
	OpenBaoKubectlImage = shareddomain.KubectlImage

	// OpenBaoUnsealKeysSecret 은 init Job 이 만든 unseal key 와 root token 을 담는다.
	// 이 Secret 과 OpenBao PVC 는 생애주기를 함께한다 — 한쪽만 남으면 재설치 시
	// 금고를 열 수 없게 되므로 삭제도 항상 함께 수행한다.
	OpenBaoUnsealKeysSecret = "openbao-unseal-keys"

	// OpenBaoDataStorageSize 는 file 스토리지 백엔드용 PVC 크기다.
	OpenBaoDataStorageSize = "5Gi"
)

const (
	ProvisionedPostgresSecret      = domain.ProvisionedPostgresSecret
	ProvisionedMinIOSecret         = domain.ProvisionedMinIOSecret
	ProvisionedGitLabRootSecret    = domain.GitLabRootSecret
	ProvisionedObjectStorageSecret = domain.ProvisionedObjectStorageSecret

	// Container Registry 전용 스토리지 설정. Rails 의 object_store 와 형식이
	// 달라(Docker distribution 스키마) 같은 Secret 에 담을 수 없다.
	ProvisionedRegistryStorageSecret = domain.ProvisionedRegistryStorageSecret
	RegistryStorageSecretKey         = "config"
	RegistryStorageBucket            = "gitlab-registry"

	// MinIORootUser 는 비밀이 아니지만 차트의 existingSecret 이 같은 Secret 안에서
	// 요구하므로 함께 프로비저닝한다.
	MinIORootUser = domain.MinIORootUser
)

const ArgoCDSecretName = "argocd-secret" // #nosec G101 -- Secret 리소스 이름

const GitLabOIDCSecretName = "gitlab-oidc-provider" // #nosec G101 -- Secret 리소스 이름

const JenkinsGiteaCredentialID = "nullus-gitea"