instances: 1

postgresql:
  imageName: "docker.io/paasup/cnpg-postgresql:18.4-bci15.7-hardened-20260803"

  parameters:
    max_connections: "200"
    shared_buffers: 256MB
    work_mem: 8MB
    maintenance_work_mem: 128MB
    effective_cache_size: 1GB
    log_timezone: Asia/Seoul
    timezone: Asia/Seoul

  sharedPreloadLibraries:
    - pgaudit
    - pg_stat_statements

primaryUpdateStrategy: unsupervised
primaryUpdateMethod: switchover

storage:
  size: 20Gi
  storageClass: longhorn

walStorage:
  enabled: true
  size: 10Gi
  storageClass: longhorn

resources:
  requests:
    cpu: 500m
    memory: 1Gi
  limits:
    cpu: 1000m
    memory: 2Gi

bootstrap:
  initdb:
    database: airflow
    owner: airflow
    secretName: "$INFISICAL_SECRET"
    encoding: UTF8
    postInitApplicationSQL: []

databases:
  - name: airflow
    owner: airflow
    ensure: present
    reclaimPolicy: retain
    extensions:
      - name: pg_stat_statements
      - name: pgaudit

enableSuperuserAccess: false

affinity:
  enablePodAntiAffinity: true
  podAntiAffinityType: preferred
  topologyKey: kubernetes.io/hostname
  nodeSelector: {}
  tolerations: []

monitoring:
  enablePodMonitor: false

backup:
  enabled: false
  retentionPolicy: 30d
  barmanObjectStore:
    destinationPath: ""
    endpointURL: ""
    s3Credentials:
      accessKeyId:
        name: ""
        key: ACCESS_KEY_ID
      secretAccessKey:
        name: ""
        key: ACCESS_SECRET_KEY

scheduledBackup:
  enabled: false
  schedule: "0 0 2 * * *"

pooler:
  enabled: false
  instances: 2
  type: rw
  poolMode: transaction
---
ingress:
  web:
    enabled: true
    annotations:
      cert-manager.io/cluster-issuer: "root-ca-issuer"
      cert-manager.io/duration: 8760h
      cert-manager.io/renew-before: 720h
      k8s.apisix.apache.org/plugin-config-name: oidc-keycloak-authz
    ingressClassName: "apisix"
    pathType: "Prefix"  
    hosts:
      - name: "{{ .Name }}.{{ .Domain }}"
        tls:
          enabled: true
          secretName: "{{ .Name }}-tls-secret"

# OIDC 인증에서 제외할 경로. 위 plugin-config-name(oidc-keycloak-authz)이 걸린 웹 Ingress와
# 별개로, 애노테이션 없는 Ingress를 하나 더 만들어 이 경로들을 인증 없이 통과시킨다
# (templates/webserver/webserver-ingress-static.yaml — PaaSup 추가 템플릿).
#
# 세션이 없을 때 /static 자원 수십 개가 동시에 OIDC 로그인 플로우를 시작하면서 state가
# 서로 덮어써져 500이 나는 문제를 막는다 (paasup/dip-catalog#24).
# Airflow의 /static은 공개 CSS/JS라 인증 제외에 보안상 문제가 없다.
#
# 비우면(또는 키를 지우면) 이 Ingress는 렌더되지 않는다 — 향후 dip-console이 같은
# 리소스를 차트 밖에서 생성하게 되면 여기를 비워서 중복을 없앤다.
dip:
  unauthenticatedPaths:
    - /static

executor: "KubernetesExecutor"

config:
  core:
    executor: KubernetesExecutor
    default_timezone: kst
  logging:
    colored_console_log: "False"
    logging_level: "INFO"
  webserver:
    enable_proxy_fix: "True"
    rbac: "True"
    default_ui_timezone: kst

scheduler:
  replicas: 1

dags:
  persistence:
    enabled: true
    size: 5Gi
    storageClassName: longhorn
    accessMode: ReadWriteMany
  gitSync:
    enabled: true
    repo: "$dags.gitSync.repo"
    branch: master
    rev: HEAD
    depth: 1
    subPath: ""
    credentialsSecret: "$INFISICAL_SECRET"
    env:
      - name: GIT_SSL_NO_VERIFY
        value: "true"

# webserver 세션 서명 키. 배포 시점에 dip-console-api 가 난수로 치환한다
# (catalogs/catalogtype/catalog_airflow.go 의 DeployPreInstall).
#
# 이 값을 비워두면 차트가 템플릿에서 직접 만드는데(`randAlphaNum 32`), 그러면 helm template
# 이 렌더할 때마다 다른 결과를 내고 ArgoCD 가 이를 drift 로 보고 sync 하면 그 순간 또
# 달라져 수렴하지 않는다 — 실측에서 webserver 가 반복 재배포되고 웹 세션이 끊겼다.
# 차트 안에서는 못 고친다(ArgoCD repo-server 는 클러스터 접근이 없어 helm lookup 이 빈 값).
webserverSecretKey: "$WEBSERVER_SECRET_KEY"

# fernet key 는 값이 아니라 Secret 이름만 넘긴다 — dip-console-api 가 배포 시점에
# <릴리스명>-fernet-key Secret 을 만들고 이 자리를 그 이름으로 치환한다.
# 비워두면 차트가 Secret 을 pre-install 훅으로 만드는데, ArgoCD 는 훅을 "삭제 후 재생성"
# 하므로 변경이 없는 sync 에서는 삭제 직후 operation 이 끝나 재생성되지 않는다. 그러면
# 파드 재시작 시 기동에 실패한다 (paasup/dip-catalog#38).
# 이름만 넘기므로 키가 tenant 레포(git)에 평문으로 남지 않는다.
fernetKeySecretName: "$FERNET_KEY_SECRET"

webserver:
  defaultUser:
    enabled: true
    password: "$webserver.defaultUser.password"
  livenessProbe:
    initialDelaySeconds: 120
  readinessProbe:
    initialDelaySeconds: 120
  startupProbe:
    initialDelaySeconds: 30
  webserverConfig: |
    AUTH_ROLE_PUBLIC = 'User'

logs:
  persistence:
    enabled: true
    size: 5Gi
    storageClassName: longhorn

statsd:
  enabled: false

# 내장 bitnami postgresql 서브차트 대신 syncWave 0 의 cnpg-cluster(airflow-db)를 쓴다.
postgresql:
  enabled: false

migrateDatabaseJob:
  # helm hook 을 끄면 Job 이 ArgoCD 가 추적하는 일반 리소스가 된다. 이 상태에서 차트 기본값인
  # ttlSecondsAfterFinished: 300 이 남아 있으면, 완료 300초 뒤 TTL 컨트롤러가 Job 을 지우고
  # ArgoCD 는 그것을 OutOfSync 로 보고 selfHeal 로 다시 만든다 — 5분 주기 재실행 루프.
  # 리소스 수명은 ArgoCD 가 관리하므로 TTL 을 끈다(null 이면 필드 자체가 렌더되지 않는다).
  # 대신 완료된 Job 객체가 네임스페이스에 남는다.
  useHelmHooks: false
  ttlSecondsAfterFinished: ~

data:
  # 시크릿의 connection 키(전체 DSN)를 그대로 쓴다 — 이 값이 설정되면 차트는
  # <release>-metadata 시크릿을 만들지 않는다.
  metadataSecretName: "$INFISICAL_SECRET"
  # metadataSecretName 이 있으면 접속에는 쓰이지 않지만, pgbouncer/keda 경로와
  # NOTES 출력이 참조하므로 cnpg 서비스에 맞춰 둔다.
  # 호스트 접두사는 flowise/6.0.0/dip-values.yaml 의 externalPostgresql.host 와 같은 규칙이다
  # — dip 배포에서 cnpg 릴리스명이 테넌트 접두사를 달고 나가므로 {{ .Name }} 가 필요하다.
  metadataConnection:
    user: airflow
    protocol: postgresql
    host: "{{ .Name }}-airflow-db-rw"
    port: 5432
    db: airflow
    sslmode: disable