image:
  repository: quay.io/keycloak/keycloak
  tag: "26.6.4"

# keycloakx 기본값은 "/auth"(구 WildFly 기반 codecentric/keycloak 호환용). Keycloak
# 26(Quarkus) 네이티브 기본값은 "/"이며, /auth 를 그대로 두면 OIDC issuer/admin API
# 경로가 다른 앱들의 가정(경로 접미사 없음)과 어긋난다.
http:
  relativePath: "/"

# 차트 기본값은 command/args 모두 빈 배열이다 — 지정하지 않으면 컨테이너가 인자 없는
# kc.sh(도움말 출력, exit 0)로 끝나 CrashLoopBackOff가 된다(실측 확인, dip-catalog#1).
command:
  - "/opt/keycloak/bin/kc.sh"
  - "start"

ingress:
  enabled: true
  ingressClassName: apisix
  annotations:
    cert-manager.io/cluster-issuer: "root-ca-issuer"
  rules:
    - host: keycloak.example.org
      paths:
        - path: /
          pathType: Prefix
  tls:
    - hosts:
        - keycloak.example.org
      secretName: keycloak-tls

proxy:
  enabled: true
  mode: forwarded

resources:
  requests:
    cpu: 100m
    memory: 500Mi
  limits:
    cpu: 2000m
    memory: 1500Mi

# 외부 postgresql 사용. vendor/hostname/port/database/username 값을 배포된 DB로 변경.
# 비밀번호는 password 평문 대신 existingSecret(kubernetes.io/basic-auth 시크릿의
# password 키, 기본 existingSecretKey)을 쓰는 것을 권장.
database:
  vendor: postgres
  hostname: keycloak-postgresql
  port: 5432
  database: keycloak
  username: keycloak
  existingSecret: keycloak-db
  existingSecretKey: password

# KC_DB_SCHEMA: Keycloak Quarkus 정식 config 옵션(db-schema) — public 이 아닌 전용
# 스키마를 쓸 때 지정.
# KC_BOOTSTRAP_ADMIN_USERNAME/PASSWORD: Keycloak 25+ 의 admin 계정 부트스트랩
# 메커니즘(구버전 KEYCLOAK_ADMIN/KEYCLOAK_ADMIN_PASSWORD 대체). master realm이
# 완전히 비어있는 최초 부팅에만 동작 — 재설치 시 비밀번호가 갱신되지 않는 것이 정상.
# KC_HOSTNAME: 반드시 지정할 것. hostname-strict 가 기본 true 라 미지정 시
# "hostname is not configured; either configure hostname, or set hostname-strict
# to false" 로 기동이 실패한다(실측 확인).
extraEnv: |
  - name: KC_HOSTNAME
    value: keycloak.example.org
  - name: KC_DB_SCHEMA
    value: keycloak
  - name: KC_BOOTSTRAP_ADMIN_USERNAME
    value: admin
  - name: KC_BOOTSTRAP_ADMIN_PASSWORD
    value: Paasadm1234!
  - name: TZ
    value: Asia/Seoul