# 이 서비스 계정은 `tbot` 포드에 Teleport Auth 서버에 의해 검증될 수 있는
# 개별 신원을 부여하는 데 사용됩니다.
apiVersion: v1
kind: ServiceAccount
metadata:
  name: tbot
  namespace: default
---
# 이 역할은 네임스페이스 내에서 비밀을 관리할 수 있는 권한을 부여합니다 -
# 이는 `kubernetes_secret` 목적지가 올바르게 작동하는 데 필요합니다.
#
# 민감한 환경에서 이 접근을 추가로 제한하기 위해 역할에 `resourceNames` 필드를
# 추가할 수 있습니다.
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: secrets-admin
  namespace: default
rules:
  - apiGroups: [""]
    resources: ["secrets"]
    verbs: ["*"]
---
# 역할을 tbot을 위해 생성된 서비스 계정에 바인딩합니다.
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: tbot-secrets-admin
  namespace: default
subjects:
  - kind: ServiceAccount
    name: tbot
roleRef:
  kind: Role
  name: secrets-admin
  apiGroup: rbac.authorization.k8s.io

kind: bot
version: v1
metadata:
  # name은 클러스터에서 Bot의 고유 식별자입니다.
  name: example
spec:
  # roles는 Bot에 부여할 역할 목록입니다. 여기에서 어떤 역할을 지정해야 할지 모른다면 걱정하지 마세요.
  # 액세스 가이드가 이미 생성된 Bot에 역할을 생성하고 할당하는 방법을 안내할 것입니다.
  roles: []

kind: token
version: v2
metadata:
  # name은 이 토큰을 사용하기 위해 `tbot` 에서 지정됩니다.
  name: example-bot
spec:
  roles: [Bot]
  # bot_name은 이 가이드에서 이전에 생성된 봇의 이름과 일치해야 합니다.
  bot_name: example
  join_method: kubernetes
  kubernetes:
    # static_jwks는 Auth Server가 `tbot` 이 제시하는 JWT를
    # 정적으로 구성된 JWKS의 공개 키를 사용하여 검증하도록 설정합니다.
    type: static_jwks
    static_jwks:
      jwks: |
        # 여기에 curl 명령어로 반환된 데이터를 입력하십시오.
        {"keys":[--snip--]}
    # allow는 Auth Server가 `tbot` 이 조인할 수 있는지 결정하는 규칙을 지정합니다.
    allow:
      - service_account: "default:tbot" # service_account

apiVersion: v1
kind: ConfigMap
metadata:
  name: tbot-config
  namespace: default
data:
  tbot.yaml: |
    version: v2
    onboarding:
      join_method: kubernetes
      # token은 앞서 생성한 조인 토큰의 이름으로 설정되어야 합니다.
      token: bot-kubernetes
    storage:
      # 메모리 목적지는 kubernetes 조인 방법이 영속성을 요구하지 않기 때문에
      # 봇 자신의 상태에 사용됩니다.
      type: memory
    # 반드시 Teleport Proxy Service의 주소로 구성되어야 합니다.
    proxy_server: example.teleport.sh:443
    # outputs는 액세스 가이드 완료 시 채워집니다.
    outputs: []

apiVersion: apps/v1
kind: Deployment
metadata:
  name: tbot
  namespace: default
spec:
  replicas: 1
  strategy:
    type: Recreate
  selector:
    matchLabels:
      app.kubernetes.io/name: tbot
  template:
    metadata:
      labels:
        app.kubernetes.io/name: tbot
    spec:
      containers:
        - name: tbot
          image: public.ecr.aws/gravitational/tbot-distroless:17.0.0-dev
          args:
            - start
            - -c
            - /config/tbot.yaml
          env:
            # POD_NAMESPACE는 kubernetes_secret` 목적지
            # 유형이 올바르게 작동하도록 필요합니다.
            - name: POD_NAMESPACE
              valueFrom:
                fieldRef:
                  fieldPath: metadata.namespace
            # KUBERNETES_TOKEN_PATH는 조인에 사용할 서비스 계정
            # JWT의 경로를 지정합니다.
            # 이 경로는 볼륨 및 볼륨 마운트의 구성에 기반합니다.
            - name: KUBERNETES_TOKEN_PATH
              value: /var/run/secrets/tokens/join-sa-token
            # TELEPORT_ANONYMOUS_TELEMETRY는 익명 사용량 텔레메트리 제출을 활성화합니다.
            # 이는 `tbot` 의 향후 개발 방향을 정하는 데 도움이 됩니다.
            # 이 설정을 생략함으로써 비활성화할 수 있습니다.
            - name: TELEPORT_ANONYMOUS_TELEMETRY
              value: "1"
          volumeMounts:
            - mountPath: /config
              name: config
            - mountPath: /var/run/secrets/tokens
              name: join-sa-token
      serviceAccountName: tbot
      volumes:
        - name: config
          configMap:
            name: tbot-config
        - name: join-sa-token
          projected:
            sources:
              - serviceAccountToken:
                  path: join-sa-token
                  # 600초는 Kubernetes가 지원하는 최소값입니다.
                  # 이 값을 사용하는 것을 권장합니다.
                  expirationSeconds: 600
                  # `example.teleport.sh` 는
                  # Teleport 클러스터의 이름으로 교체해야 합니다.
                  audience: example.teleport.sh

outputs:
  - type: identity
    destination:
      type: kubernetes_secret
      name: identity-output

apiVersion: v1
kind: Pod
metadata:
  name: tsh
  namespace: default
spec:
  containers:
    - name: tsh
      image: public.ecr.aws/gravitational/teleport-distroless:17.0.0-dev
      command:
        - tsh
      args:
        - -i
        - /identity-output/identity
        - --proxy
        - example.teleport.sh:443
        - ls
      volumeMounts:
        - name: identity-output
          mountPath: /identity-output
  volumes:
    - name: identity-output
      secret:
        secretName: identity-output