# version은 사용 중인 구성 파일의 버전을 지정합니다. `v2`는
# 가장 최근 버전이며 모든 신규 봇에 사용해야 합니다. 이 예제의 나머지 부분은
# `v2` 스키마입니다.
version: v2

# debug는 stderr에 자세한 로깅을 활성화합니다. 지정하지 않으면 기본값은
# false입니다.
debug: true

# auth_server는 `tbot`이 연결해야 하는 인증 서비스 인스턴스의 주소를 지정합니다.
# 프록시 서비스 주소를 지정하기 위해 `proxy_server`를 사용하는 것이 좋습니다.
auth_server: "teleport.example.com:3025"

# proxy_server는 `tbot`이 연결해야 하는 Teleport 프록시 서비스의 주소를 지정합니다.
# Teleport 클라우드를 사용하는 경우 Teleport 클라우드 인스턴스의 주소를 사용하는 것이 좋습니다.
proxy_server: "teleport.example.com:443" # 또는 Teleport 클라우드의 경우 "example.teleport.sh:443"

# certificate_ttl은 `tbot`이 생성한 인증서의 유효 기간을 지정합니다.
# 이는 양의 숫자 값이어야 하며 `m`(분) 또는 `h`(시간) 접미사가 있어야 합니다. 기본적으로 이 값은 `1h`입니다.
# 최대 값은 `24h`입니다.
certificate_ttl: "1h"

# renewal_interval은 `tbot`이 생성한 출력물을 갱신하기 위해 aim해야 하는 빈도를 지정합니다.
# 이는 양의 숫자 값이어야 하며 `m`(분) 또는 `h`(시간) 접미사가 있어야 합니다. 기본값은 `20m`입니다.
# 이 값은 `certificate_ttl`보다 낮아야 합니다.
# 이 값은 `tbot`이 일회성 모드로 실행되고 있을 때 무시됩니다.
renewal_interval: "20m"

# oneshot은 `tbot`이 출력을 생성한 후 즉시 종료되도록 구성합니다.
# 기본값은 `false`입니다. `true` 값은 CI/CD와 같은 일시적인 환경에서 유용합니다.
oneshot: false

# onboarding은 `tbot`이 Teleport 클러스터에 인증하는 방식을 제어하는 구성 옵션의 그룹입니다.
onboarding:
  # token은 Teleport 클러스터에서 구성된 조인 토큰을 지정합니다.
  #
  # 이는 사용하려는 값이 포함된 파일의 절대 경로일 수도 있습니다.
  # 파일 경로 예:
  # token: /var/lib/teleport/tokenjoin
  token: "00000000000000000000000000000000"

  # join_method는 위에서 지정한 토큰과 연결된 조인 방법이어야 합니다.
  # 이 설정은 `tctl`을 사용하여 봇을 생성할 때 출력된 값과 일치해야 합니다.
  #
  # 지원되는 값은 다음과 같습니다:
  # - `token`
  # - `azure`
  # - `gcp`
  # - `circleci`
  # - `github`
  # - `gitlab`
  # - `iam`
  # - `ec2`
  # - `kubernetes`
  # - `spacelift`
  # - `tpm`
  join_method: "token"

  # ca_pins는 첫 번째 연결 시 Teleport 인증 서비스의 신원을 확인하는 데 사용됩니다.
  # Teleport 클라우드를 사용하거나 Teleport 프록시를 통해 연결할 때는 이 값을 지정하지 않아야 합니다.
  ca_pins:
    - "sha256:abdc1245efgh5678abdc1245efgh5678abdc1245efgh5678abdc1245efgh5678"
    - "sha256:abdc1245efgh5678abdc1245efgh5678abdc1245efgh5678abdc1245efgh5678"

  # ca_path는 첫 번째 연결 시 Teleport 인증 서비스의 신원을 확인하는 데 사용할 수 있는 CA 파일의 위치를 지정하는 데 사용됩니다.
  # Teleport 클라우드를 사용하거나 Teleport 프록시를 통해 연결할 때는 이 값을 지정하지 않아야 합니다. ca_pins 옵션이 ca_path보다 선호되어야 합니다.
  ca_path: "/path/to/ca.pem"

# storage는 `tbot`이 내부 상태를 저장하는 데 사용할 목적지를 지정합니다. 
# 이 상태는 민감하며, 여기에서 지정한 목적지는 오직 `tbot`만 접근할 수 있도록 해야 합니다.
#
# 지정하지 않은 경우, storage는 `/var/lib/teleport/bot` 경로의 디렉토리로 설정됩니다.
#
# 이 참조 페이지의 Destinations 섹션 아래에서 지원되는 목적지 및 그 구성 옵션의 전체 목록을 참조하십시오.
storage:
  type: directory
  path: /var/lib/teleport/bot

# outputs는 `tbot`이 실행될 때 생성하고 갱신해야 하는 아티팩트를 지정합니다.
#
# 이 참조 페이지의 Outputs 섹션 아래에서 지원되는 출력 및 그 구성 옵션의 전체 목록을 참조하십시오.
outputs:
  - type: identity
    destination:
      type: directory
      path: /opt/machine-id

# services는 어떤 `tbot` 하위 서비스가 활성화되어야 하며, 어떻게 구성되어야 하는지를 지정합니다.
#
# 이 참조 페이지의 Services 섹션 아래에서 지원되는 서비스 및 그 구성 옵션의 전체 목록을 참조하십시오.
services:
  - type: example

proxy_server: example.teleport.sh:443

onboarding:
  join_method: "token"
  token: "abcd123-insecure-do-not-use-this"
  ca_pins:
    - "sha256:abdc1245efgh5678abdc1245efgh5678abdc1245efgh5678abdc1245efgh5678"

storage:
  type: directory
  path: /var/lib/teleport/bot

outputs:
  - type: identity
    destination:
      type: directory
      path: ./tbot-user

# type은 출력의 유형을 지정합니다. identity 출력의 경우,
# 항상 `identity`가 됩니다.
type: identity

# 다음 구성 필드는 대부분의 출력 유형에서 사용할 수 있습니다.

# destination은 출력이 생성된 아티팩트를 쓸 위치를 지정합니다
# 인증서 및 구성 파일과 같은.
#
# 지원되는 목적지 및 해당 구성 옵션의 전체 목록은
# 이 참조 페이지의 목적지 섹션에서 확인하십시오.
destination:
  type: directory
  path: /opt/machine-id
# roles는 출력에 의해 생성된 인증서에 포함되어야 하는 역할을 지정합니다.
# 이러한 역할은 봇이 가장할 수 있는 권한을 부여받은 역할이어야 합니다.
#
# 역할이 지정되지 않으면 봇이 가장할 수 있는 모든 역할이 사용됩니다.
roles:
  - editor

# type은 출력의 유형을 지정합니다. application 출력의 경우,
# 항상 `application`이 됩니다.
type: application
# app_name은 `tbot`이 자격 증명을 생성해야 하는 Teleport 클러스터에서 구성된 애플리케이션 이름입니다.
# 이 필드는 반드시 지정해야 합니다.
app_name: grafana

# 다음 구성 필드는 대부분의 출력 유형에서 사용할 수 있습니다.

# destination은 출력이 생성된 아티팩트를 쓸 위치를 지정합니다
# 인증서 및 구성 파일과 같은.
#
# 지원되는 목적지 및 해당 구성 옵션의 전체 목록은
# 이 참조 페이지의 목적지 섹션에서 확인하십시오.
destination:
  type: directory
  path: /opt/machine-id
# roles는 출력에 의해 생성된 인증서에 포함되어야 하는 역할을 지정합니다.
# 이러한 역할은 봇이 가장할 수 있는 권한을 부여받은 역할이어야 합니다.
#
# 역할이 지정되지 않으면 봇이 가장할 수 있는 모든 역할이 사용됩니다.
roles:
  - editor

# type은 출력의 유형을 지정합니다. database 출력의 경우,
# 항상 `database`가 됩니다.
type: database
# service는 출력가 자격 증명을 생성해야 하는 Teleport에서 구성된 데이터베이스 서버의 이름입니다.
# 이 필드는 반드시 지정해야 합니다.
service: my-postgres-server
# database는 특정 데이터베이스의 이름이며,
# 이 필드는 개별 데이터베이스가 없을 경우 지정할 필요가 없습니다.
database: my-database
# username은 지정된 데이터베이스 서버에서 자격 증명을 생성해야 할 사용자의 이름입니다.
# 이 필드는 사용자가 없는 데이터베이스 유형에 대해서는 지정할 필요가 없습니다.
username: my-user
# format은 출력 아티팩트를 위해 사용할 형식을 지정합니다. 
# 지정하지 않으면 기본 형식이 사용됩니다. 전체 지원 값 목록은 아래의 "지원되는 형식" 테이블을 참조하십시오.
format: tls

# 다음 구성 필드는 대부분의 출력 유형에서 사용할 수 있습니다.

# destination은 출력이 생성된 아티팩트를 쓸 위치를 지정합니다
# 인증서 및 구성 파일과 같은.
#
# 지원되는 목적지 및 해당 구성 옵션의 전체 목록은
# 이 참조 페이지의 목적지 섹션에서 확인하십시오.
destination:
  type: directory
  path: /opt/machine-id
# roles는 출력에 의해 생성된 인증서에 포함되어야 하는 역할을 지정합니다.
# 이러한 역할은 봇이 가장할 수 있는 권한을 부여받은 역할이어야 합니다.
#
# 역할이 지정되지 않으면 봇이 가장할 수 있는 모든 역할이 사용됩니다.
roles:
  - editor

# type은 출력의 유형을 지정합니다. kubernetes 출력의 경우,
# 항상 `kubernetes`가 됩니다.
type: kubernetes
# kubernetes_cluster는 출력이 자격 증명과 kubeconfig를 생성해야 할 Teleport에서 구성된 Kubernetes 클러스터의 이름입니다.
# 이 필드는 반드시 지정해야 합니다.
kubernetes_cluster: my-cluster

# 다음 구성 필드는 대부분의 출력 유형에서 사용할 수 있습니다.

# destination은 출력이 생성된 아티팩트를 쓸 위치를 지정합니다
# 인증서 및 구성 파일과 같은.
#
# 지원되는 목적지 및 해당 구성 옵션의 전체 목록은
# 이 참조 페이지의 목적지 섹션에서 확인하십시오.
destination:
  type: directory
  path: /opt/machine-id
# roles는 출력에 의해 생성된 인증서에 포함되어야 하는 역할을 지정합니다.
# 이러한 역할은 봇이 가장할 수 있는 권한을 부여받은 역할이어야 합니다.
#
# 역할이 지정되지 않으면 봇이 가장할 수 있는 모든 역할이 사용됩니다.
roles:
  - editor

# type은 출력의 유형을 지정합니다. ssh host 출력의 경우,
# 항상 `ssh_host`가 됩니다.
type: ssh_host
# principals는 호스트 인증서에 포함할 호스트 이름의 목록입니다.
# 이 이름들은 클라이언트가 호스트에 연결할 때 사용하는 이름과 일치해야 합니다.
principals:
  - host.example.com

# 다음 구성 필드는 대부분의 출력 유형에서 사용할 수 있습니다.

# destination은 출력이 생성된 아티팩트를 쓸 위치를 지정합니다
# 인증서 및 구성 파일과 같은.
#
# 지원되는 목적지 및 해당 구성 옵션의 전체 목록은
# 이 참조 페이지의 목적지 섹션에서 확인하십시오.
destination:
  type: directory
  path: /opt/machine-id
# roles는 출력에 의해 생성된 인증서에 포함되어야 하는 역할을 지정합니다.
# 이러한 역할은 봇이 가장할 수 있는 권한을 부여받은 역할이어야 합니다.
#
# 역할이 지정되지 않으면 봇이 가장할 수 있는 모든 역할이 사용됩니다.
roles:
  - editor

# type은 출력의 유형을 지정합니다. SPIFFE SVID 출력의 경우,
# 항상 `spiffe-svid`가 됩니다.
type: spiffe-svid
# svid는 요청해야 하는 SPIFFE SVID의 속성을 지정합니다.
svid:
  # path는 요청해야 하는 SPIFFE ID의 path 요소를 지정합니다.
  path: /svc/foo
  # sans는 생성된 X509 SVID에 포함될 선택적 주체 대안 이름(SAN)을 지정합니다.
  # 생략하면 포함되지 않습니다.
  sans:
    # dns는 생략하면 포함되지 않는 DNS SAN을 지정합니다.
    dns:
      - foo.svc.example.com
    # ip는 생략하면 포함되지 않는 IP SAN을 지정합니다.
    ip:
      - 10.0.0.1
# 다음 구성 필드는 대부분의 출력 유형에서 사용할 수 있습니다.

# destination은 출력이 생성된 아티팩트를 쓸 위치를 지정합니다
# 인증서 및 구성 파일과 같은.
#
# 지원되는 목적지 및 해당 구성 옵션의 전체 목록은
# 이 참조 페이지의 목적지 섹션에서 확인하십시오.
destination:
  type: directory
  path: /opt/machine-id
# roles는 출력에 의해 생성된 인증서에 포함되어야 하는 역할을 지정합니다.
# 이러한 역할은 봇이 가장할 수 있는 권한을 부여받은 역할이어야 합니다.
#
# 역할이 지정되지 않으면 봇이 가장할 수 있는 모든 역할이 사용됩니다.
roles:
  - editor

# type은 서비스의 유형을 지정합니다. SPIFFE Workload API 서비스의 경우,
# 항상 `spiffe-workload-api`가 됩니다.
type: spiffe-workload-api
# listen은 서비스가 수신해야 하는 주소를 지정합니다.
#
# 두 가지 유형의 리스너가 지원됩니다:
# - TCP: `tcp://<address>:<port>`
# - Unix 소켓: `unix:///<path>`
listen: unix:///opt/machine-id/workload.sock
# attestors는 이 Workload API에 대한 워크로드 인증을 구성할 수 있습니다.
attestors:
  # kubernetes는 Kubernetes 워크로드 인증자의 구성을 위한 것입니다.
  # Kubernetes 워크로드 인증자 섹션에서 자세한 정보를 확인하십시오.
  kubernetes:
    # enabled는 Kubernetes 워크로드 인증자를 활성화해야 하는지 여부를 지정합니다.
    # 지정하지 않으면 기본값은 false입니다.
    enabled: true
    # kubelet은 Kubernetes 워크로드 인증자가 Kubelet API와 상호작용하는 것과 관련된 구성을 보유합니다.
    kubelet:
      # read_only_port는 Kubelet API가 읽기 전용 작업을 위해 노출되는 포트입니다.
      # Kubernetes 1.16 이후로는 기본적으로 읽기 전용 포트가 비활성화되어 있으며 secure_port가 대신 사용되어야 합니다.
      read_only_port: 10255
      # secure_port는 인증자가 Kubelet 보안 API에 연결해야 하는 포트입니다. 
      # 지정하지 않으면 기본값은 `10250`입니다. 읽기 전용 포트와 상호 배타적입니다.
      secure_port: 10250
      # token_path는 Kubelet API 클라이언트가 Kubelet API와 인증하기 위해 사용할 토큰 파일의 경로입니다.
      # 지정하지 않으면 기본값은 `/var/run/secrets/kubernetes.io/serviceaccount/token`입니다.
      token_path: "/var/run/secrets/kubernetes.io/serviceaccount/token"
      # ca_path는 Kubelet API 클라이언트가 Kubelet API 서버의 인증서를 확인하는 데 사용할 CA 파일의 경로입니다.
      # 지정하지 않으면 기본값은 `/var/run/secrets/kubernetes.io/serviceaccount/ca.crt`입니다.
      ca_path: "/var/run/secrets/kubernetes.io/serviceaccount/ca.crt"
      # skip_verify는 Kubelet API 서버의 인증서 확인을 비활성화하는 데 사용됩니다. 
      # 지정하지 않으면 기본값은 false입니다.
      #
      # 지정하면 ca_path에 지정한 값이 무시됩니다.
      #
      # 이는 Kubelet API 서버가 Kubernetes 클러스터 CA의 서명된 인증서를 발급받지 않은 경우 유용합니다.
      # 이는 여러 Kubernetes 배포에서 비교적 일반적입니다.
      skip_verify: true
      # anonymous는 Kubelet API와 인증 비활성화를 지정합니다. 지정하지 않으면 기본값은 false입니다.
      # 설정하면 token_path 필드는 무시됩니다.
      anonymous: false
# svids는 워크로드 API가 제공해야 하는 SPIFFE SVID를 지정합니다.
svids:
    # path는 요청해야 하는 SPIFFE ID의 path 요소를 지정합니다.
  - path: /svc/foo
    # hint는 여러 개의 SVID이 있는 경우, 워크로드가 선택할 SVID를 선택하는 데 도움을 주기 위해 사용할 수 있는 자유 형식의 문자열입니다.
    # 생략하면 포함되지 않습니다.
    hint: my-hint
    # sans는 생성된 X509 SVID에 포함될 선택적 주체 대안 이름(SAN)을 지정합니다.
    # 생략하면 포함되지 않습니다.
    sans:
      # dns는 생략하면 포함되지 않는 DNS SAN을 지정합니다.
      dns:
        - foo.svc.example.com
      # ip는 생략하면 포함되지 않는 IP SAN을 지정합니다.
      ip:
        - 10.0.0.1
    # rules는 워크로드 인증 규칙 목록을 지정합니다. 이러한 규칙 중 하나는
    # 이 SVID를 받기 위해 워크로드에서 만족해야 합니다.
    #
    # 규칙이 지정되지 않으면 이 서비스에 연결하는 모든 워크로드에 대해 SVID가 발급됩니다.
    rules:
        # unix는 워크로드가 동일한 호스트에서 실행되고 있어야 하며 Unix 소켓을 사용하여
        # Workload API에 연결하는 경우 사용할 수 있는 일련의 워크로드 인증 기준입니다.
        #
        # 이 그룹의 기준 중 하나라도 지정되면 Unix 소켓을 사용하여 연결하지 않는 워크로드는
        # 이 SVID를 받지 않습니다.
      - unix:
          # uid는 워크로드 프로세스가 이 SVID를 받기 위해 실행해야 하는 사용자 ID입니다.
          #
          # 지정하지 않으면 UID가 확인되지 않습니다.
          uid: 1000
          # pid는 워크로드 프로세스가 이 SVID를 받기 위해 가져야 하는 ID입니다.
          #
          # 지정하지 않으면 PID가 확인되지 않습니다.
          pid: 1234
          # gid는 워크로드 프로세스가 이 SVID를 받기 위해 실행해야 하는 주요 그룹 ID입니다.
          #
          # 지정하지 않으면 GID가 확인되지 않습니다.
          gid: 50

node:
  id: "my-envoy-proxy"
  cluster: "my-cluster"
static_resources:
  listeners:
    - name: test_listener
      enable_reuse_port: false
      address:
        socket_address:
          address: 0.0.0.0
          port_value: 8080
      filter_chains:
        - filters:
            - name: envoy.filters.network.http_connection_manager
              typed_config:
                "@type": type.googleapis.com/envoy.extensions.filters.network.http_connection_manager.v3.HttpConnectionManager
                common_http_protocol_options:
                  idle_timeout: 1s
                forward_client_cert_details: sanitize_set
                set_current_client_cert_details:
                  uri: true
                stat_prefix: ingress_http
                route_config:
                  name: local_route
                  virtual_hosts:
                    - name: my_service
                      domains: ["*"]
                      routes:
                        - match:
                            prefix: "/"
                          route:
                            cluster: my_service
                http_filters:
                  - name: envoy.filters.http.router
                    typed_config:
                      "@type": type.googleapis.com/envoy.extensions.filters.http.router.v3.Router
          transport_socket:
            name: envoy.transport_sockets.tls
            typed_config:
              "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.DownstreamTlsContext
              common_tls_context:
                # 역 프록시가 제공해야 하는 인증서를 구성합니다.
                tls_certificate_sds_secret_configs:
                  # 여러 SVID가 있는 경우 `name`을 원하는 SPIFFE ID로 바꿀 수 있습니다.
                  - name: "default"
                    sds_config:
                      resource_api_version: V3
                      api_config_source:
                        api_type: GRPC
                        transport_api_version: V3
                        grpc_services:
                          envoy_grpc:
                            cluster_name: tbot_agent
                # 결합된 검증 컨텍스트는 두 개의 검증 컨텍스트를 결합합니다.
                # 이는 SDS 소스의 검증 컨텍스트를 확장하는 데 유용합니다.
                combined_validation_context:
                  default_validation_context:
                    # match_typed_subject_alt_names를 사용하여 특정 SPIFFE ID로부터의 연결만 허용하도록 구성할 수 있습니다.
                    match_typed_subject_alt_names: []
                  validation_context_sds_secret_config:
                    name: "ALL" # 이는 신뢰 도메인 이름으로도 바꿀 수 있습니다.
  clusters:
    # my_service는 Envoy가 트래픽을 포워딩할 예제 서비스입니다.
    - name: my_service
      type: strict_dns
      load_assignment:
        cluster_name: my_service
        endpoints:
          - lb_endpoints:
              - endpoint:
                  address:
                    socket_address:
                      address: 127.0.0.1
                      port_value: 8090
    - name: tbot_agent
      http2_protocol_options: {}
      load_assignment:
        cluster_name: tbot_agent
        endpoints:
          - lb_endpoints:
              - endpoint:
                  address:
                    pipe:
                      # `tbot`가 수신 대기하고 있는 소켓의 경로를 구성합니다.
                      path: /opt/machine-id/workload.sock

# type은 데이터베이스 터널 서비스의 유형을 지정합니다.
# 데이터베이스 터널 서비스의 경우, 항상 `database-tunnel`이 됩니다.
type: database-tunnel
# listen은 서비스가 수신해야 하는 주소를 지정합니다.
#
# 두 가지 유형의 리스너가 지원됩니다:
# - TCP: `tcp://<address>:<port>`
# - Unix 소켓: `unix:///<path>`
listen: tcp://127.0.0.1:25432
# service는 서비스가 터널을 열어야 하는 Teleport에서 구성된 데이터베이스 서버의 이름입니다.
service: postgres-docker
# database는 지정된 데이터베이스 서비스에서 특정 데이터베이스의 이름입니다.
database: postgres
# username은 지정된 데이터베이스 서버에서 터널을 열기 위해 필요한 사용자 이름입니다.
username: postgres

# type은 애플리케이션 터널 서비스의 유형을 지정합니다. 
# 애플리케이션 터널 서비스의 경우, 항상 `application-tunnel`이 됩니다.
type: application-tunnel
# listen은 서비스가 수신해야 하는 주소를 지정합니다.
#
# 두 가지 유형의 리스너가 지원됩니다:
# - TCP: `tcp://<address>:<port>`
# - Unix 소켓: `unix:///<path>`
listen: tcp://127.0.0.1:8084
# app_name은 서비스가 터널을 열어야 하는 Teleport에서 구성된 애플리케이션의 이름입니다.
app_name: my-application

# type은 SSH 멀티플렉서 서비스의 유형을 지정합니다. 
# SSH 멀티플렉서 서비스의 경우, 항상 `ssh-multiplexer`가 됩니다.
type: ssh-multiplexer
# destination는 터널이 열려야 할 위치와 모든 아티팩트가 작성될 위치를 지정합니다.
# `directory` 유형이어야 합니다.
destination:
  type: directory
  path: /foo
# enable_resumption은 멀티플렉서가 세션 재개를 협상해야 하는지 여부를 지정합니다.
# 이는 SSH 연결이 네트워크 중단에도 생존하게 합니다. 
# 그러나 이는 연결당 사용하는 메모리 자원을 증가시킵니다.
#
# 지정하지 않으면 기본값은 true입니다.
enable_resumption: true
# proxy_command는 생성된 SSH 구성에서 사용할 ProxyCommand를 지정합니다.
#
# 지정하지 않으면 ProxyCommand는 `tbot`의 현재 실행 바이너리가 됩니다.
proxy_command:
  - /usr/local/bin/fdpass-teleport
# proxy_templates_path는 Teleport 노드에 연결하기 위해 해결할 프록시 템플릿 구성 파일의 경로를 지정합니다.
# 이 파일은 SSH 멀티플렉서가 실행 중인 프로세스가 접근할 수 있어야 합니다.
#
# 지정하지 않으면 프록시 템플릿은 사용되지 않습니다.
proxy_templates_path: /etc/my-proxy-templates.yaml

# type은 목적지의 유형을 지정합니다. directory 목적지의 경우,
# 항상 `directory`가 됩니다.
type: directory

# path는 이 목적지가 써야 하는 디렉토리의 경로를 지정합니다.
# 이 디렉토리는 이미 존재해야 하며, `tbot init`를 사용하여 올바른 권한으로 생성해야 합니다.
path: /opt/machine-id

# symlinks는 심볼릭 링크 공격 방지 동작을 구성합니다.
# Linux 5.6+가 필요합니다.
# 지원되는 값:
#   * try-secure (기본값): 심볼릭 링크 없이 인증서를 안전하게 읽고 쓰려고 시도하지만,
#     지원하지 않을 경우 불완전한 읽기 및 쓰기로 대체합니다.
#   * secure: 심볼릭 링크 없이 인증서를 안전하게 읽고 쓰려고 시도하며, 지원하지 않으면 하드 오류가 발생합니다.
#   * insecure: 경로에 심볼릭 링크를 조용히 허용합니다.
symlinks: try-secure
# acls는 이 목적지의 Linux 접근 제어 목록(ACL)을 설정할지 여부를 구성합니다.
# ACL이 지원되는 파일 시스템을 사용하는 Linux가 필요합니다.
# 지원되는 값:
#   * try (Linux에서 기본값): ACL을 사용하려고 시도하고, 실행 시간에 ACL을 구성했지만 유효하지 않은 경우 경고합니다.
#   * off (비 Linux에서 기본값): ACL을 사용하지 않으려고 시도하지 않습니다.
#   * required: 항상 ACL을 사용하며, ACL이 유효하지 않은 경우 실행 시간에 하드 오류를 발생시킵니다.
acls: try

# type은 목적지의 유형을 지정합니다. memory 목적지의 경우,
# 항상 `memory`가 됩니다.
type: memory

# type은 목적지의 유형을 지정합니다. kubernetes_secret 목적지의 경우,
# 항상 `kubernetes_secret`가 됩니다.
type: kubernetes_secret
# name은 아티팩트를 작성할 Kubernetes 비밀의 이름을 지정합니다.
# 이는 `tbot`이 실행되는 것과 동일한 네임스페이스에 있어야 합니다.
name: my-secret

kind: 봇
version: v1
metadata:
  # 이름은 클러스터에서 봇의 고유 식별자입니다.
  name: 로봇
spec:
  # 역할은 봇이 자격 증명을 생성할 수 있는 역할 목록입니다.
  roles:
  - 편집자
  # 특성은 봇 사용자에게 적용되는 특성을 제어합니다. 이러한 특성은 
  # 역할 템플릿 시스템에 제공되며, 새로운 역할을 생성하지 않고
  # 특정 봇에 특정 리소스에 대한 액세스를 부여하는 데 사용할 수 있습니다.
  traits:
  - name: 로그인
    values:
    - 루트