# etcd — PaaSup 오버라이드
# 업스트림 기본값은 values.yaml 참고. 여기에는 변경이 필요한 항목만 둔다.

image:
  # 자체 빌드(대응 우선순위 c) — 업스트림 quay.io/coreos/etcd:v3.7.1 이 게이트 차단
  # HIGH 1건(golang.org/x/text, CVE-2026-56852, 바이너리 정적 링크라 베이스 OS 교체로
  # 해소 불가)으로 막혀 v3.7.1 태그가 가리키는 commit 을 그대로 컴파일했다. x/text 만
  # go.work 워크스페이스 전역 replace 로 0.39.0 이상으로 강제.
  # 근거·결정·빌드 정의는 별도 레포 hardened-containers 의 docs/decisions/0004-etcd-image-self-build.md
  # 와 images/etcd/(이 레포에는 없다). 상위 태그가 나오거나 release-3.7 에 백포트되면
  # (대응 우선순위 a) 되돌리는 것이 우선.
  #
  # 이전 값: quay.io/coreos/etcd:v3.7.1 (업스트림). etcd 프로젝트는 3.8부터
  # gcr.io/etcd-development·quay.io/coreos 를 폐지하고 registry.k8s.io/etcd 로 이전
  # 예정이다(etcd-io/etcd#20928) — 상위 태그로 돌아갈 때 이것도 함께 재검토한다.
  registry: "docker.io/paasup"
  repository: "etcd"
  tag: "3.7.1-security-hardened-20260820"

initImage:
  # 업스트림 기본값 "stable" 은 롤링 태그다 — 스캔 대상이 시점마다 달라지므로 고정한다.
  # 이 init 컨테이너도 extract-helm-images.sh 에 잡혀 게이트 대상이 되므로 고정한다.
  registry: "docker.io"
  repository: "busybox"
  tag: "1.38.0-uclibc"

# 클러스터 초기화 특성상 최초 배포 전에 정해야 하며, 이후 자동/수동 스케일링을
# 지원하지 않는다(업스트림 values.yaml 주석).
#
# 이 카탈로그 항목의 용도는 단일 APISIX 인스턴스의 설정 저장소다 — APISIX 자체가
# 단일 인스턴스라 etcd 쪽에서 쿼럼 HA를 가져갈 이유가 없고, 오퍼레이터 없이 가벼운
# 차트 하나로 충분하다는 것이 이 결정의 핵심이다(doc/decisions/0003-etcd-chart-selection.md).
# 노드 장애 시 단일 장애점이 된다는 것을 받아들인 트레이드오프다. 쿼럼 HA가 필요한
# 다른 소비자가 생기면 dip-values.yaml(replicas: 3)을 쓰거나 이 값을 재검토한다.
replicas: 1

storage:
  requestedSize: 5Gi
  className: "longhorn"

resources:
  requests:
    cpu: 100m
    memory: 128Mi
  limits:
    cpu: 500m
    memory: 512Mi

# TLS — 업스트림 기본값(평문 클라이언트/피어 통신)을 그대로 둔다. 운영 배포는
# dip-values.yaml 에서 autoTls: true 로 켠다. 여기서는 CVE 스캔 기준값 + 최소 동작
# 확인용이라 단순하게 유지한다.