# 이 ServiceAccount는 `tbot` 포드에 명확한 신원을 제공합니다.
# 이는 Teleport Auth Server에 의해 검증될 수 있습니다.
apiVersion: v1
kind: ServiceAccount
metadata:
  name: tbot
  namespace: default
---
# 이 역할은 네임스페이스 내 비밀을 관리할 수 있는 권한을 부여합니다.
# 이는 `kubernetes_secret` 대상을 올바르게 작동시키기 위해 필수적입니다.
#
# 민감한 환경에서는 액세스를 더욱 제한하기 위해 역할에 `resourceNames` 필드를 추가할 수 있습니다.
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: secrets-admin
  namespace: default
rules:
  - apiGroups: [""]
    resources: ["secrets"]
    verbs: ["*"]
---
# 역할을 tbot에 대해 생성된 서비스 계정에 바인딩합니다.
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: tbot-secrets-admin
  namespace: default
subjects:
  - kind: ServiceAccount
    name: tbot
roleRef:
  kind: Role
  name: secrets-admin
  apiGroup: rbac.authorization.k8s.io

kind: bot
version: v1
metadata:
  # name은 클러스터 내에서 봇의 고유 식별자입니다.
  name: example
spec:
  # roles는 봇에 부여할 역할의 목록입니다. 여기에 어떤 역할을 지정해야 할지 모르는 경우 걱정하지 마세요.
  # Access Guides가 이미 생성된 봇에 역할을 생성하고 할당하는 방법을 안내해 드립니다.
  roles: []

kind: token
version: v2
metadata:
  # 이름은 `tbot`이 이 토큰을 사용하도록 지정됩니다.
  name: example-bot
spec:
  roles: [Bot]
  # bot_name은 이 가이드에서 이전에 생성한 봇의 이름과 일치해야 합니다.
  bot_name: example
  join_method: kubernetes
  kubernetes:
    # static_jwks는 Auth Server가 `tbot`이 제시하는 JWT를 검증하기 위해
    # 고정 구성된 JWKS의 공개 키를 사용하도록 설정합니다.
    type: static_jwks
    static_jwks:
      jwks: |
        # curl 명령으로 반환된 데이터를 여기에 배치하십시오
        {"keys":[--snip--]}
    # allow는 Auth Server가 `tbot`의 가입 여부를 결정하는 규칙을 지정합니다.
    allow:
    - service_account: "default:tbot" # service_account

apiVersion: v1
kind: ConfigMap
metadata:
  name: tbot-config
  namespace: default
data:
  tbot.yaml: |
    version: v2
    onboarding:
      join_method: kubernetes
      # 토큰은 이전에 생성한 가입 토큰의 이름으로 설정해야 합니다.
      token: bot-kubernetes
    storage:
      # Kubernetes 가입 방법은 지속성이 필요하지 않기 때문에
      # 봇의 자체 상태를 위한 메모리 대상을 사용합니다.
      type: memory
    # 이 설정은 Teleport Proxy 서비스의 주소로 구성되어야 합니다.
    proxy_server: example.teleport.sh:443
    # outputs는 액세스 가이드 완료 중에 채워집니다.
    outputs: []

apiVersion: apps/v1
kind: Deployment
metadata:
  name: tbot
  namespace: default
spec:
  replicas: 1
  strategy:
    type: Recreate
  selector:
    matchLabels:
      app.kubernetes.io/name: tbot
  template:
    metadata:
      labels:
        app.kubernetes.io/name: tbot
    spec:
      containers:
        - name: tbot
          image: public.ecr.aws/gravitational/tbot-distroless:16.2.0
          args:
            - start
            - -c
            - /config/tbot.yaml
          env:
            # POD_NAMESPACE는 `kubernetes_secret` 목적지 유형이 올바르게 작동하기 위해 필요합니다.
            - name: POD_NAMESPACE
              valueFrom:
                fieldRef:
                  fieldPath: metadata.namespace
            # KUBERNETES_TOKEN_PATH는 가입에 사용할 서비스 계정 JWT의 경로를 지정합니다.
            # 이 경로는 볼륨 및 volumeMount의 구성에 따라 달라집니다.
            - name: KUBERNETES_TOKEN_PATH
              value: /var/run/secrets/tokens/join-sa-token
            # TELEPORT_ANONYMOUS_TELEMETRY는 익명 사용량 원격 제출을 활성화합니다.
            # 이는 `tbot`의 향후 개발 방향을 결정하는 데 도움이 됩니다.
            # 이를 생략하여 비활성화할 수 있습니다.
            - name: TELEPORT_ANONYMOUS_TELEMETRY
              value: "1"
          volumeMounts:
            - mountPath: /config
              name: config
            - mountPath: /var/run/secrets/tokens
              name: join-sa-token
      serviceAccountName: tbot
      volumes:
        - name: config
          configMap:
            name: tbot-config
        - name: join-sa-token
          projected:
            sources:
              - serviceAccountToken:
                  path: join-sa-token
                  # 600초는 Kubernetes가 지원하는 최소 시간입니다.
                  # 이 값을 사용하는 것이 권장됩니다.
                  expirationSeconds: 600
                  # `example.teleport.sh`는 귀하의 Teleport 클러스터 이름으로 대체해야 합니다.
                  audience: example.teleport.sh

outputs:
  - type: identity
    destination:
      type: kubernetes_secret
      name: identity-output

apiVersion: v1
kind: Pod
metadata:
  name: tsh
  namespace: default
spec:
  containers:
    - name: tsh
      image: public.ecr.aws/gravitational/teleport-distroless:16.2.0
      command:
        - tsh
      args:
       - -i
       - /identity-output/identity
       - --proxy
       - example.teleport.sh:443
       - ls
      volumeMounts:
        - name: identity-output
          mountPath: /identity-output
  volumes:
    - name: identity-output
      secret:
        secretName: identity-output