# version은 사용 중인 구성 파일의 버전을 지정합니다. `v2` 는 가장 최근의 버전이며,
# 모든 새로운 봇에 대해 사용해야 합니다. 이 예의 나머지 부분은 `v2` 스키마입니다.
version: v2

# debug는 stderr에 자세한 로깅을 활성화합니다. 지정하지 않으면 기본값은
# false입니다.
debug: true

# auth_server는 `tbot` 이 연결해야 하는 Auth Service 인스턴스의 주소를 지정합니다.
# Proxy Service 주소를 지정하기 위해 `proxy_server` 를 지정하는 것을 선호해야 합니다.
auth_server: "teleport.example.com:3025"

# proxy_server는 `tbot` 이 연결해야 하는 Teleport Proxy Service의 주소를 지정합니다.
# Teleport Proxy Service의 주소를 사용하거나, Teleport Cloud를 사용하는 경우
# Teleport Cloud 인스턴스의 주소를 사용하는 것이 좋습니다.
proxy_server: "teleport.example.com:443" # 또는 Teleport Cloud의 경우 "example.teleport.sh:443"

# certificate_ttl은 `tbot` 이 생성한 인증서가 얼마나 오래 유효해야 하는지를 지정합니다.
# 이는 `m` (분)을 포함하거나 `h` (시간)을 포함하는 양수 숫자 값이어야 합니다.
# 기본값은 `1h` 이며, 최대값은 `24h` 입니다.
certificate_ttl: "1h"

# renewal_interval은 `tbot` 이 생성한 출력을 갱신하려고 하는 빈도를 지정합니다.
# 이는 `m` (분)을 포함하거나 `h` (시간)을 포함하는 양수 숫자 값이어야 합니다.
# 기본값은 `20m` 입니다. 이 값은 `certificate_ttl` 보다 낮아야 합니다.
# `tbot` 이 일회성 모드로 실행 중일 때 이 값은 무시됩니다.
renewal_interval: "20m"

# oneshot은 출력을 생성한 후 즉시 `tbot` 을 종료하도록 구성합니다.
# 기본값은 `false` 입니다. `true` 값을 사용하는 것은 CI/CD와 같은 일시적인 환경에서 유용합니다.
oneshot: false

# onboarding은 `tbot` 이 Teleport 클러스터에 인증하는 방법을 제어하는 구성 옵션의 그룹입니다.
onboarding:
  # token은 Teleport 클러스터에서 구성된 조인 토큰을 지정합니다.
  # 이 값이 사용되어야 합니다.
  #
  # 이것은 사용하려는 값이 포함된 파일의 절대 경로일 수도 있습니다.
  # 파일 경로 예시:
  # token: /var/lib/teleport/tokenjoin
  token: "00000000000000000000000000000000"

  # join_method는 위에서 지정된 토큰과 관련된 조인 방법이어야 합니다.
  # 이 설정은 `tctl` 을 사용하여 봇을 생성할 때 출력된 값과 일치해야 합니다.
  #
  # 지원되는 값은 다음과 같습니다:
  # - `token`
  # - `azure`
  # - `gcp`
  # - `circleci`
  # - `github`
  # - `gitlab`
  # - `iam`
  # - `ec2`
  # - `kubernetes`
  # - `spacelift`
  # - `tpm`
  # - `terraform_cloud`
  join_method: "token"

  # ca_pins는 첫 연결 시 Teleport Auth Service의 신원을 검증하는 데 사용됩니다.
  # Teleport Cloud를 사용하거나 Teleport Proxy를 통해 연결할 때는 이 값을 지정하지 않아야 합니다.
  ca_pins:
    - "sha256:abdc1245efgh5678abdc1245efgh5678abdc1245efgh5678abdc1245efgh5678"
    - "sha256:abdc1245efgh5678abdc1245efgh5678abdc1245efgh5678abdc1245efgh5678"

  # ca_path는 첫 연결 시 Teleport Auth Service의 신원을 검증하는 데 사용할 수 있는 CA 파일의 위치를 지정하는 데 사용됩니다.
  # Teleport Cloud를 사용하거나 Teleport Proxy를 통해 연결할 때는 이 값을 지정하지 않아야 합니다.
  # ca_pins 옵션을 ca_path보다 선호해야 합니다.
  ca_path: "/path/to/ca.pem"

# storage는 `tbot` 이 내부 상태를 저장하는 데 사용할 목적지를 지정합니다.
# 이 상태는 민감하므로 여기에 지정한 목적지는 `tbot` 만 접근할 수 있어야 합니다.
#
# 지정하지 않으면 저장소는 `/var/lib/teleport/bot` 경로를 갖는 디렉토리 목적지로 설정됩니다.
#
# 이 참조 페이지의 Destinations 섹션에 있는 지원되는 목적지의 전체 목록과 그 구성 옵션을 참조하십시오.
storage:
  type: directory
  path: /var/lib/teleport/bot

# outputs는 `tbot` 이 실행될 때 생성하고 갱신해야 하는 artifact를 지정합니다.
#
# 이 참조 페이지의 Outputs 섹션에 있는 지원되는 출력의 전체 목록과 그 구성 옵션을 참조하십시오.
outputs:
  - type: identity
    destination:
      type: directory
      path: /opt/machine-id

# services는 어떤 `tbot` 하위 서비스가 활성화되어야 하며 어떻게 구성되어야 하는지를 지정합니다.
#
# 이 참조 페이지의 Services 섹션에 있는 지원되는 서비스와 그 구성 옵션의 전체 목록을 참조하십시오.
services:
  - type: example

proxy_server: example.teleport.sh:443

onboarding:
  join_method: "token"
  token: "abcd123-insecure-do-not-use-this"
  ca_pins:
    - "sha256:abdc1245efgh5678abdc1245efgh5678abdc1245efgh5678abdc1245efgh5678"

storage:
  type: directory
  path: /var/lib/teleport/bot

outputs:
  - type: identity
    destination:
      type: directory
      path: ./tbot-user

# type은 출력의 유형을 지정합니다. identity 출력의 경우,
# 이는 항상 `identity` 입니다.
type: identity

(!docs/pages/includes/machine-id/common-output-config.yaml!)

# type은 출력의 유형을 지정합니다. application 출력의 경우,
# 이는 항상 `application` 입니다.
type: application
# app_name은 `tbot` 이 자격 증명을 생성해야 하는 Teleport
# 클러스터에 구성된 애플리케이션 이름입니다.
# 이 필드는 반드시 지정해야 합니다.
app_name: grafana

(!docs/pages/includes/machine-id/common-output-config.yaml!)

# type은 출력의 유형을 지정합니다. database 출력의 경우,
# 이는 항상 `database` 입니다.
type: database
# service는 Teleport에 구성된 데이터베이스 서버의 이름으로,
# 출력이 자격 증명을 생성해야 합니다. 이 필드는 반드시 지정해야 합니다.
service: my-postgres-server
# database는 지정된 데이터베이스 서버에서 자격 증명을 생성할 특정 데이터베이스의 이름입니다.
# 이 필드는 여러 개별 데이터베이스를 지원하지 않는 데이터베이스 유형의 경우 지정할 필요가 없습니다.
database: my-database
# username은 지정된 데이터베이스 서버에서 자격 증명을 생성할 사용자의 이름입니다.
# 이 필드는 사용자가 없는 데이터베이스 유형에서는 지정할 필요가 없습니다.
username: my-user
# format은 출력 아티팩트에 사용할 형식을 지정합니다. 지정되지 않은 경우 기본 형식이 사용됩니다.
# 아래의 "지원되는 형식" 표를 참조하여 전체 지원 값 목록을 확인하십시오.
format: tls

(!docs/pages/includes/machine-id/common-output-config.yaml!)

# type은 출력의 유형을 지정합니다. kubernetes 출력의 경우 이는
# 항상 `kubernetes` 입니다.
type: kubernetes
# kubernetes_cluster는 Teleport에서 구성된 Kubernetes 클러스터의 이름으로,
# 이 출력이 자격 증명과 kubeconfig를 생성해야 하는 대상입니다.
# 이 필드는 반드시 지정해야 합니다.
kubernetes_cluster: my-cluster

(!docs/pages/includes/machine-id/common-output-config.yaml!)

# type은 출력의 유형을 지정합니다. ssh host 출력의 경우 이는
# 항상 `ssh_host` 입니다.
type: ssh_host
# principals는 호스트 인증서에 포함할 호스트 이름 목록입니다.
# 이 이름들은 클라이언트가 호스트에 연결하는 데 사용하는 이름과 일치해야 합니다.
principals:
  - host.example.com

(!docs/pages/includes/machine-id/common-output-config.yaml!)

# type은 출력의 유형을 지정합니다. SPIFFE SVID 출력의 경우 이는
# 항상 `spiffe-svid` 입니다.
type: spiffe-svid
# svid는 요청해야 할 SPIFFE SVID의 속성을 지정합니다.
svid:
  # path는 SPIFFE ID에 대해 요청해야 할 경로 요소를 지정합니다.
  path: /svc/foo
  # sans는 생성된 X509 SVID에 포함할 선택적 대체 주체 이름(SAN)을 지정합니다.
  # 생략할 경우 SAN은 포함되지 않습니다.
  sans:
    # dns는 DNS SAN을 지정합니다. 생략할 경우 DNS SAN은 포함되지 않습니다.
    dns:
      - foo.svc.example.com
    # ip는 IP SAN을 지정합니다. 생략할 경우 IP SAN은 포함되지 않습니다.
    ip:
      - 10.0.0.1
  # jwts는 JWT-SVID의 출력을 제어합니다. 각 항목은
  # 별도의 아티팩트로 생성됩니다. 생략할 경우 JWT-SVID는 생성되지 않습니다.
  jwts:
      # audience는 JWT-SVID가 발급되어야 할 청중을 지정합니다.
      # 이는 일반적으로 JWT-SVID가 인증하는 데 사용될 서비스를 식별합니다.
    - audience: https://example.com
      # file_name은 JWT-SVID가 기록되어야 할 파일 이름을 지정합니다.
      file_name: example-jwt

(!docs/pages/includes/machine-id/common-output-config.yaml!)

# type은 서비스의 유형을 지정합니다. SPIFFE Workload API 서비스의 경우,
# 이는 항상 `spiffe-workload-api` 입니다.
type: spiffe-workload-api
# listen은 서비스가 리스닝해야 하는 주소를 지정합니다.
#
# 두 가지 유형의 리스너가 지원됩니다:
# - TCP: `tcp://<address>:<port>`
# - Unix 소켓: `unix:///<path>`
listen: unix:///opt/machine-id/workload.sock
# attestors는 이 Workload API에 대한 Workload Attestation을 구성할 수 있게 합니다.
attestors:
  # kubernetes는 Kubernetes Workload Attestor에 대한 구성입니다. 자세한 내용은
  # Kubernetes Workload Attestor 섹션을 참조하십시오.
  kubernetes:
    # enabled는 Kubernetes Workload Attestor를 활성화할지 여부를 지정합니다.
    # 지정하지 않으면 기본값은 false입니다.
    enabled: true
    # kubelet은 Kubelet API와의 상호작용과 관련된 Kubernetes Workload Attestors의
    # 구성입니다.
    kubelet:
      # read_only_port는 Kubelet API가 읽기 전용 작업을 위해 노출되는 포트입니다.
      # Kubernetes 1.16부터 읽기 전용 포트는 기본적으로 비활성화되며 secure_port가 대신 사용되어야 합니다.
      read_only_port: 10255
      # secure_port는 attestor가 Kubelet 보안 API에 연결할 포트입니다. 지정하지 않으면
      # 기본값은 `10250` 입니다. 이는 ReadOnlyPort와 상호 배타적입니다.
      secure_port: 10250
      # token_path는 Kubelet API 클라이언트가 Kubelet API와 인증하는 데 사용할
      # 토큰 파일의 경로입니다. 지정하지 않으면 기본값은
      # `/var/run/secrets/kubernetes.io/serviceaccount/token` 입니다.
      token_path: "/var/run/secrets/kubernetes.io/serviceaccount/token"
      # ca_path는 Kubelet API 클라이언트가 Kubelet API 서버의 인증서를 검증하는 데
      # 사용할 CA 파일의 경로입니다. 지정하지 않으면 기본값은
      # `/var/run/secrets/kubernetes.io/serviceaccount/ca.crt` 입니다.
      ca_path: "/var/run/secrets/kubernetes.io/serviceaccount/ca.crt"
      # skip_verify는 Kubelet API 서버의 인증서 검증을 비활성화하는 데 사용됩니다.
      # 지정하지 않으면 기본값은 false입니다.
      #
      # 지정된 경우, ca_path에 지정된 값은 무시됩니다.
      #
      # 이는 Kubelet API 서버가 Kubernetes 클러스터의 CA에 의해 서명된 인증서를 발급받지
      # 않은 경우에 유용합니다. 이는 여러 Kubernetes 배포에서 비교적 일반적입니다.
      skip_verify: true
      # anonymous는 Kubelet API와의 인증을 비활성화하는 데 사용됩니다. 지정하지 않으면
      # 기본값은 false입니다. 설정된 경우, token_path 필드는 무시됩니다.
      anonymous: false
# svids는 Workload API가 제공해야 하는 SPIFFE SVID를 지정합니다.
svids:
  # path는 SPIFFE ID를 요청하기 위한 경로 요소를 지정합니다.
  - path: /svc/foo
    # hint는 여러 SVID 중에서 선택할 SVID를 결정하는 데 도움이 되는 자유 형식의 문자열입니다.
    # 생략하면 힌트가 포함되지 않습니다.
    hint: my-hint
    # sans는 생성된 X509 SVID에 포함할 선택적 주체 대체 이름(SAN)을 지정합니다.
    # 생략하면 SAN이 포함되지 않습니다.
    sans:
      # dns는 DNS SAN을 지정합니다. 생략하면 DNS SAN이 포함되지 않습니다.
      dns:
        - foo.svc.example.com
      # ip는 IP SAN을 지정합니다. 생략하면 IP SAN이 포함되지 않습니다.
      ip:
        - 10.0.0.1
    # rules는 작업 부하의 증명을 위한 규칙 목록을 지정합니다. 이 SVID를 수령하기 위해서는
    # 이러한 규칙 중 적어도 하나가 만족되어야 합니다.
    #
    # 규칙이 지정되지 않으면 SVID는 이 서비스에 연결된 모든 작업 부하에 발급됩니다.
    rules:
      # unix는 작업 부하가 동일한 호스트에서 실행 중이고 Unix 소켓을 사용하여
      # Workload API에 연결될 때 사용할 수 있는 작업 부하 증명 기준의 그룹입니다.
      #
      # 이 그룹의 기준 중 하나가 지정되면, Unix 소켓을 사용하지 않는 작업 부하는
      # 이 SVID를 수령하지 않습니다.
      - unix:
          # uid는 작업 부하 프로세스가 이 SVID를 수령하기 위해 실행해야 하는
          # 사용자 ID입니다.
          #
          # 지정하지 않으면 UID는 확인되지 않습니다.
          uid: 1000
          # pid는 작업 부하 프로세스가 이 SVID를 수령하기 위해 가져야 하는 ID입니다.
          #
          # 지정하지 않으면 PID는 확인되지 않습니다.
          pid: 1234
          # gid는 작업 부하 프로세스가 이 SVID를 수령하기 위해 실행해야 하는
          # 기본 그룹 ID입니다.
          #
          # 지정하지 않으면 GID는 확인되지 않습니다.
          gid: 50

node:
  id: "my-envoy-proxy"
  cluster: "my-cluster"
static_resources:
  listeners:
    - name: test_listener
      enable_reuse_port: false
      address:
        socket_address:
          address: 0.0.0.0
          port_value: 8080
      filter_chains:
        - filters:
            - name: envoy.filters.network.http_connection_manager
              typed_config:
                "@type": type.googleapis.com/envoy.extensions.filters.network.http_connection_manager.v3.HttpConnectionManager
                common_http_protocol_options:
                  idle_timeout: 1s
                forward_client_cert_details: sanitize_set
                set_current_client_cert_details:
                  uri: true
                stat_prefix: ingress_http
                route_config:
                  name: local_route
                  virtual_hosts:
                    - name: my_service
                      domains: ["*"]
                      routes:
                        - match:
                            prefix: "/"
                          route:
                            cluster: my_service
                http_filters:
                  - name: envoy.filters.http.router
                    typed_config:
                      "@type": type.googleapis.com/envoy.extensions.filters.http.router.v3.Router
          transport_socket:
            name: envoy.transport_sockets.tls
            typed_config:
              "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.DownstreamTlsContext
              common_tls_context:
                # 역방향 프록시가 제시해야 할 인증서 구성.
                tls_certificate_sds_secret_configs:
                  # 여러 SVID가 있는 경우 `name` 을 원하는 SPIFFE ID로
                  # 바꿀 수 있습니다.
                  - name: "default"
                    sds_config:
                      resource_api_version: V3
                      api_config_source:
                        api_type: GRPC
                        transport_api_version: V3
                        grpc_services:
                          envoy_grpc:
                            cluster_name: tbot_agent
                # 결합된 유효성 검사 컨텍스트는 두 개의 유효성 검사 컨텍스트를
                # 함께 "melds"합니다. 이는 SDS 소스에서 유효성 검사 컨텍스트를
                # 확장하는 데 유용합니다.
                combined_validation_context:
                  default_validation_context:
                    # match_typed_subject_alt_names를 사용하여 특정 SPIFFE ID에서만
                    # 연결을 허용하는 규칙을 구성할 수 있습니다.
                    match_typed_subject_alt_names: []
                  validation_context_sds_secret_config:
                    name: "ALL" # 이를 신뢰 도메인 이름으로도 교체할 수 있습니다.
                    sds_config:
                      resource_api_version: V3
                      api_config_source:
                        api_type: GRPC
                        transport_api_version: V3
                        grpc_services:
                          envoy_grpc:
                            cluster_name: tbot_agent
  clusters:
    # my_service는 Envoy가 트래픽을 전달할 예제 서비스입니다.
    - name: my_service
      type: strict_dns
      load_assignment:
        cluster_name: my_service
        endpoints:
          - lb_endpoints:
              - endpoint:
                  address:
                    socket_address:
                      address: 127.0.0.1
                      port_value: 8090
    - name: tbot_agent
      http2_protocol_options: {}
      load_assignment:
        cluster_name: tbot_agent
        endpoints:
          - lb_endpoints:
              - endpoint:
                  address:
                    pipe:
                      # `tbot` 가 수신 대기하는 소켓의 경로를 구성합니다.
                      path: /opt/machine-id/workload.sock

# type은 서비스의 유형을 지정합니다. 데이터베이스 터널 서비스의 경우
# 항상 `database-tunnel` 이 됩니다.
type: database-tunnel
# listen은 서비스가 수신해야 하는 주소를 지정합니다.
#
# 두 가지 유형의 리스너가 지원됩니다.
# - TCP: `tcp://<address>:<port>`
# - Unix socket: `unix:///<path>`
listen: tcp://127.0.0.1:25432
# service는 서비스가 터널을 열어야 하는 데이터베이스 서버의 이름으로,
# Teleport에서 구성된 이름입니다.
service: postgres-docker
# database는 지정된 데이터베이스 서비스에서 특정 데이터베이스의 이름입니다.
database: postgres
# username은 터널을 열기 위해 지정된 데이터베이스 서버에서의 사용자 이름입니다.
username: postgres

# type은 서비스의 유형을 지정합니다. 애플리케이션 터널 서비스의 경우
# 항상 `application-tunnel` 이 됩니다.
type: application-tunnel
# listen은 서비스가 수신해야 하는 주소를 지정합니다.
#
# 두 가지 유형의 리스너가 지원됩니다.
# - TCP: `tcp://<address>:<port>`
# - Unix socket: `unix:///<path>`
listen: tcp://127.0.0.1:8084
# app_name은 서비스가 터널을 열어야 하는 애플리케이션의 이름으로,
# Teleport에서 구성된 이름입니다.
app_name: my-application

# type은 서비스의 유형을 지정합니다. SSH 멀티플렉서의 경우
type: ssh-multiplexer
# destination은 터널을 열어야 하는 위치와 모든 아티팩트가 작성되어야 하는지를 지정합니다.
# directory 유형이어야 합니다.
destination:
  type: directory
  path: /foo
# enable_resumption은 멀티플렉서가 세션 복원을 협상해야 하는지를 지정합니다.
# 이로 인해 SSH 연결이 네트워크 중단을 견딜 수 있습니다. 이는 연결당 사용되는 메모리 리소스를 증가시킵니다.
#
# 지정하지 않으면 기본값은 true입니다.
enable_resumption: true
# proxy_command는 생성된 SSH 구성에서 ProxyCommand로 사용할 명령을 지정합니다.
#
# 지정하지 않으면 ProxyCommand는 현재 실행 중인 `tbot` 바이너리가 됩니다.
proxy_command:
  - /usr/local/bin/fdpass-teleport
# proxy_templates_path는 Teleport 노드를 연결할 때 사용해야 하는 프록시 템플릿 구성 파일의 경로를
# 지정합니다. 이 파일은 SSH 멀티플렉서가 실행 중인 장기 실행 tbot 프로세스에서 접근 가능해야 합니다.
#
# 지정하지 않으면 프록시 템플릿은 사용되지 않습니다.
proxy_templates_path: /etc/my-proxy-templates.yaml

# type은 목적지 유형을 지정합니다. directory 목적지의 경우,
# 항상 `directory` 입니다.
type: directory

# path는 이 목적지가 기록할 디렉터리의 경로를 지정합니다.
# 이 디렉터리는 이미 존재해야 하며, 올바른 권한으로 생성하기 위해
# `tbot init` 를 사용해야 합니다.
path: /opt/machine-id

# symlinks는 심볼릭 링크 공격 방지의 동작을 구성합니다.
# Linux 5.6+가 필요합니다.
# 지원되는 값:
#   * try-secure (기본값): 심볼릭 링크 없이 인증서를 안전하게 읽고 쓸 수 있도록 시도하지만,
#     호스트가 지원하지 않는 경우에는 비안전하게 읽고 쓸 수 있도록 경고합니다.
#   * secure: 지원되지 않을 경우 하드 오류와 함께 인증서를 안전하게 읽고 쓰도록 시도합니다.
#   * insecure: 경로에서 심볼릭 링크를 조용히 허용합니다.
symlinks: try-secure

# acls는 이 목적지에 대해 Linux 파일 접근 제어 목록 (ACL) 설정이 이루어져야 하는지 구성합니다.
# ACL을 지원하는 파일 시스템이 있는 Linux가 필요합니다.
# 지원되는 값:
#   * try (Linux에서 기본값): ACL을 사용하려고 시도하며, ACL이 구성되었지만 유효하지 않은 경우
#     런타임에서 경고합니다.
#   * off (비-Linux에서 기본값): ACL을 사용하지 않으려고 시도하지 않습니다.
#   * required: 항상 ACL을 사용하며, 런타임에서 ACL이 유효하지 않은 경우 하드 오류를 발생시킵니다.
acls: try

# readers는 이 디렉터리 출력을 접근할 수 있는 사용자와 그룹 목록입니다. `acls` 매개변수는
# `try` 또는 `required` 이어야 합니다. 파일 ACL은 이 구성과 일치하도록 런타임에 모니터링 및
# 수정됩니다.
# 개별 항목은 `user` 또는 `group` 중 하나만 지정할 수 있습니다. `user` 는 기존의 명명된 사용자
# 또는 UID를 수용하고, `group` 은 기존의 명명된 그룹 또는 GID를 수용합니다. UID와 GID는
# 반드시 로컬 시스템에 존재할 필요는 없습니다.
# 비어 있는 readers 목록은 런타임 ACL 관리를 비활성화합니다.
readers:
  - user: teleport
  - user: 123
  - group: teleport
  - group: 456

# type은 목적지 유형을 지정합니다. memory 목적지의 경우,
# 항상 `memory` 입니다.
type: memory

# type은 목적지 유형을 지정합니다. kubernetes_secret
# 목적지의 경우, 항상 `kubernetes_secret` 입니다.
type: kubernetes_secret
# name은 아티팩트를 기록할 Kubernetes 비밀의 이름을 지정합니다.
# 이는 `tbot` 가 실행 중인 동일한 네임스페이스에 있어야 합니다.
name: my-secret

kind: bot
version: v1
metadata:
  # name은 클러스터에서 봇을 식별하기 위한 고유 식별자입니다.
  name: robot
spec:
  # roles는 봇이 자격 증명을 생성할 수 있는 역할 목록입니다.
  roles:
  - editor
  # traits는 Bot 사용자에게 적용되는 특성을 제어합니다. 이러한 것은
  # 역할 템플릿 시스템에 제공되며, 새로운 역할을 생성하지 않고도 특정 Bot에
  # 특정 리소스에 대한 접근을 부여하는 데 사용할 수 있습니다.
  traits:
  - name: logins
    values:
    - root