Руководство по установке#

...                                                             
    defaultConfig:                                              
      proxyMetadata:                                            
        ISTIO_META_DNS_CAPTURE: 'true'                          
        ISTIO_META_DNS_AUTO_ALLOCATE: 'true'                    
...                                                             

# пример параметра 
federation-discovery.k8s.deployment.sidecar.istio.inject=true

# пример параметра 
federation-controller.k8s.deployment.sidecar.istio.inject=true

kubectl apply -n $FEDERATION_NAMESPACE -f - <<EOF
kind: ServiceAccount
apiVersion: v1
metadata:
  name: synapse-federation-controller
  namespace: $FEDERATION_NAMESPACE
imagePullSecrets:
  - name: $IMAGE_PULL_SECRETS
---
kind: ServiceAccount
apiVersion: v1
metadata:
  name: synapse-federation-discovery
  namespace: $FEDERATION_NAMESPACE
imagePullSecrets:
  - name: $IMAGE_PULL_SECRETS

kubectl apply -n $FEDERATION_NAMESPACE -f - <<EOF
kind: ClusterRole
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: synapse-federation-controller-crb
rules:
  - verbs:
      - get
      - list
      - create
      - update
      - patch
      - watch
      - delete
    apiGroups:
      - networking.synapse.sber
    resources:
      - serviceexports/status
      - serviceimports/status
      - servicetrafficpolicies/status
      - federationmemberlists/status
      - federationmembers/status
  - verbs:
      - get
      - list
      - watch
    apiGroups:
      - ''
    resources:
      - services
      - namespaces
  - verbs:
      - get
      - watch
      - list
    apiGroups:
      - networking.synapse.sber
    resources:
      - serviceexports
      - serviceimports
      - servicetrafficpolicies
      - federationmemberlists
      - federationmembers
  - verbs:
      - get
      - list
    apiGroups:
      - rbac.authorization.k8s.io
    resources:
      - roles
      - rolebindings
      - clusterroles
      - clusterrolebindings
  - verbs:
      - get
      - list
      - watch
    apiGroups:
      - project.openshift.io
    resources:
      - projects
---
kind: ClusterRole
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: synapse-federation-controller
rules:
  - verbs:
      - get
      - update
      - create
      - delete
      - list
    apiGroups:
      - networking.istio.io
    resources:
      - virtualservices
      - serviceentries
      - gateways
      - destinationrules
      - envoyfilters
---
kind: Role
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: synapse-federation-dns-manager
  namespace: $FEDERATION_NAMESPACE
rules:
  - verbs:
      - get
      - list
      - create
      - update
      - patch
      - watch
      - delete
    apiGroups:
      - federation.synapse.sber
    resources:
      - hostentriesslice
---
kind: Role
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: synapse-federation-leases
  namespace: $FEDERATION_NAMESPACE
rules:
  - verbs:
      - get
      - list
      - watch
      - create
      - update
      - patch
      - delete
    apiGroups:
      - coordination.k8s.io
    resources:
      - leases
---
kind: Role
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: synapse-federation-discovery
  namespace: $FEDERATION_NAMESPACE
rules:
  - verbs:
      - get
      - list
      - create
      - update
      - patch
      - watch
      - delete
    apiGroups:
      - federation.synapse.sber
    resources:
      - endpointsslice
      - discoveryserviceimports
      - discoveryserviceexports
      - controllers
      - trafficpolicies
      - discoveryfederationmemberlists
      - trafficpolicies/status
EOF

kubectl apply -n $FEDERATION_NAMESPACE -f - <<EOF
kind: ClusterRoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: synapse-federation-controller-crb
subjects:
  - kind: ServiceAccount
    name: synapse-federation-controller
    namespace: $FEDERATION_NAMESPACE
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: synapse-federation-controller-crb
---
kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: synapse-federation-discovery-rb
  namespace: $FEDERATION_NAMESPACE
subjects:
  - kind: ServiceAccount
    name: synapse-federation-discovery
    namespace: $FEDERATION_NAMESPACE
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: Role
  name: synapse-federation-discovery
---
kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: synapse-federation-controller-leases-rb
  namespace: $FEDERATION_NAMESPACE
subjects:
  - kind: ServiceAccount
    name: synapse-federation-controller
    namespace: $FEDERATION_NAMESPACE
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: Role
  name: synapse-federation-leases
---
kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: synapse-federation-discovery-leases-rb
  namespace: $FEDERATION_NAMESPACE
subjects:
  - kind: ServiceAccount
    name: synapse-federation-discovery
    namespace: $FEDERATION_NAMESPACE
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: Role
  name: synapse-federation-leases
---
kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: synapse-federation-controller-rb
  namespace: $FEDERATION_NAMESPACE
subjects:
  - kind: ServiceAccount
    name: synapse-federation-controller
    namespace: $FEDERATION_NAMESPACE
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: synapse-federation-controller
---
kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: synapse-federation-controller-manager-rb
  namespace: $FEDERATION_NAMESPACE
subjects:
  - kind: ServiceAccount
    name: synapse-federation-controller
    namespace: $FEDERATION_NAMESPACE
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: Role
  name: synapse-federation-dns-manager
EOF

kubectl apply -n $FEDERATION_NAMESPACE -f - <<EOF
kind: MutatingWebhookConfiguration
apiVersion: admissionregistration.k8s.io/v1
metadata:
  annotations:
    service.beta.openshift.io/inject-cabundle: 'true'                                                  # при использовании Openshift
    cert-manager.io/inject-ca-from: $FEDERATION_NAMESPACE/validationwebhook-federation-cert  # gри использовании «cert-manager» в кластере kubernetes
  name: synapse-federation-mutating-webhook
  labels:
    app: synapse-federation-mutating-webhook
    kind: mutator
webhooks:
  - name: webhook.federation.synapse.sber
    sideEffects: None
    clientConfig:
      service:
        namespace: $FEDERATION_NAMESPACE
        name: ingressgateway-$FEDERATION_NAMESPACE
        path: /api/webhook
        port: 10445
      caBundle: $CA_BUNDLE    # пример «LS0tLS1CRUdJTiBDRVJ*»
    reinvocationPolicy: Never
    rules:
      - operations:
          - CREATE
          - UPDATE
        apiGroups:
          - networking.synapse.sber
        apiVersions:
          - '*'
        resources:
          - serviceexports
          - serviceimports
          - servicetrafficpolicies
        scope: '*'
    matchPolicy: Equivalent
    namespaceSelector: {}
    admissionReviewVersions:
      - v1
      - v1alpha1
    failurePolicy: Fail
    objectSelector: {}
    timeoutSeconds: 10
---
kind: ValidatingWebhookConfiguration
apiVersion: admissionregistration.k8s.io/v1
metadata:
  name: synapse-federation-validation-webhook
  annotations:
    service.beta.openshift.io/inject-cabundle: 'true'                                                  # при использовании Openshift
    cert-manager.io/inject-ca-from: $FEDERATION_NAMESPACE/validationwebhook-federation-cert  # gри использовании «cert-manager» в кластере kubernetes
webhooks:
  - name: federation.synapse.validation.sber
    sideEffects: None
    clientConfig:
      service:
        namespace: $FEDERATION_NAMESPACE
        name: ingressgateway-$FEDERATION_NAMESPACE
        path: /api/ingress-gw-validation
        port: 10445
      caBundle: $CA_BUNDLE    # пример «LS0tLS1CRUdJTiBDRVJ*»
    rules:
      - operations:
          - CREATE
          - UPDATE
        apiGroups:
          - networking.istio.io
        apiVersions:
          - '*'
        resources:
          - gateways
        scope: Namespaced
    matchPolicy: Exact
    namespaceSelector:
      matchExpressions:
        - key: $FEDERATION_NAMESPACE-federation
          operator: In
          values:
            - 'true'
    admissionReviewVersions:
      - v1alpha1
      - v1
    failurePolicy: Ignore
    objectSelector: {}
    timeoutSeconds: 30
EOF

apiVersion: cert-manager.io/v1
kind: Certificate
metadata:
  name: validationwebhook-federation-cert
  namespace: $FEDERATION_NAMESPACE
spec:
  commonName: ingressgateway-$FEDERATION_NAMESPACE.$FEDERATION_NAMESPACE.svc
  dnsNames:
  - ingressgateway-$FEDERATION_NAMESPACE
  - ingressgateway-$FEDERATION_NAMESPACE.svc
  - ingressgateway-$FEDERATION_NAMESPACE.$FEDERATION_NAMESPACE.svc
  duration: 43800h
  issuerRef:
    kind: ClusterIssuer
    name: kubernetes-selfsigning-issuer
  renewBefore: 4380h
  secretName: ingressgateway-webhook

{{`{{- with secret`}} "{{ .Values.vault.secmanNamespace }}/{{ .Values.vault.pki_engine.egress.kafka.pki_path }}" "common_name={{ .Values.vault.pki_engine.egress.kafka.common_name }}" {{`-}} {{ .Data.certificate }} {{- end }}`}}

vault:
  pki_engine:
    enabled: 'false'                       # флаг, указывающий на использование PKI engine в рамках хранения сертификатов (общий, при указании 'false' все сертификаты будут использоваться из KV version 1)
    ingress:                               # группа сертификатов использующиеся для входящего трафика
      federation:                          # группа параметров для сертификата по интеграции приложений FSSM
        pki_enabled: 'false'               # локальный флаг использования PKI engine
        pki_path: PKI/issue/pki            # частичный пусть к PKI engine путь формируется по структуре ({{ .Values.vault.secmanNamespace }}/{{ .Values.vault.pki_engine.ingress.federation.pki_path }}), также необходимо указывать метод запроса, например «issue» и наименование роли в рамках которой будет реализован сертификат
        common_name: federation.host       # параметр в рамках указывающий «common_name» выпускаемого сертификата
        data:                              # группа параметров для возможности изменения параметров по корневому сертификату
          ca:                            
            name: ca_chain                 # имя корневого сертификата в рамках PKI engine, пример реализации по умолчанию «{{ .Data.ca_chain }}»
            range: 'false'                 # флаг использования «range» для реализации цепочки сертификатов ({{ range $k, $v := .Data.ca_chain }} {{- $v }} {{- end -}})
      bootstrap:                           # группа параметров для сертификата приложений FSSM (при использовании режима bootstrap и реализация отдельных сертификатов для этого)
        pki_enabled: 'false'
        pki_path: PKI/issue/pki
        common_name: bootstrap.host
        data:
          ca:
            name: ca_chain
            range: 'false'
      webhook:                             # группа параметров для сертификата по webhook взаимодействию (при использовании сертификатов из vault, также при выпуске такого рода сертификата необходимо убедиться, что caBundle секция, в рамках webhook configuration доверяют друг другу)
        pki_enabled: 'false'
        pki_path: PKI/issue/pki
        common_name: webhook.host          # при выпуске сертификата необходимо придерживаться логике формирования «common_name» - $имя сервиса.$имя проекта.svc
    egress:                                # группа сертификатов использующиеся для исходящего трафика
      federation:                          # группа параметров для сертификата по интеграции приложений FSSM
        pki_enabled: 'false'
        pki_path: PKI/issue/pki
        common_name: federation.host
        data:
          ca:
            name: ca_chain
            range: 'false'
      bootstrap:                           # группа параметров для сертификата приложений FSSM (при использовании режима bootstrap и реализация отдельных сертификатов для этого)
        pki_enabled: 'false'
        pki_path: PKI/issue/pki
        common_name: bootstrap.host
        data:
          ca:
            name: ca_chain
            range: 'false'
      kafka:                               # группа параметров для сертификата по интеграции с Kafka (при использовании агента сбора логов)
        pki_enabled: 'false'
        pki_path: PKI/issue/pki
        common_name: kafka.host
        data:
          ca:
            name: ca_chain
            range: 'false'
      postgres:                            # группа параметров для сертификата по интеграции с Postgres (при использовании Postgres для синхронизации федераций)
        pki_enabled: 'false'
        pki_path: PKI/issue/pki
        common_name: postgres.host
        data:
          ca:
            name: ca_chain
            range: 'false'

### Необходимо реализовать файл values.yaml
### Расположение файла в рамках git ветки job «SynapseInstaller» (более подробно о настройке и запуске можно ознакомиться в документации компонента «SMDL», «Руководство оператора»)
### Для установки CRD компонента FSSM - synapse-config-dev-gen/${имя проекта для установки}/package/conf/helm/fssm-main/values.yaml
### Для компонента FSSM - synapse-config-dev-gen/${имя проекта для установки}/package/conf/helm/fssm/values.yaml

kind: NetworkPolicy
apiVersion: networking.k8s.io/v1
metadata:
  name: allow-from-default-namespaces
spec:
  podSelector: {}
  ingress:
    - from:
        - namespaceSelector:
            matchLabels:
              name: default
  policyTypes:
    - Ingress

kind: MutatingWebhookConfiguration
apiVersion: admissionregistration.k8s.io/v1
metadata:
  name: synapse-federation-mutating-webhook
...
    clientConfig:
      service:
        namespace: ${NAMESPACE}
        name: ${NAME_SERVICE}
        path: /mutate
        port: ${PORT_SERVICE}
...

release_version: "1.7.0" # указать версию релиза
config_version: "1.7.0"  # указать версию конфигурации
component_type: service

crd:                   
  install: "false"                                   # установка CRD (kind: CustomResourceDefinitions)
  useCRDProxy: "false"                               # установка CRD (kind: CustomResourceDefinitions) посредством компонента CRDproxy (уникальное решение одного из клиента)

release_version: "1.10.0" # указать версию релиза
config_version: "1.10.0"  # указать версию конфигурации
component_type: service

#global:
#  registry: moi.space                         # registry в рамках которого реализован образ приложений
#  clusterName: moi.cluster                    # опциональный параметр для конкретизации клаcтера

#registry:                                         # при использовании указанного параметра, используется если не произведена автоматическая сборка и не произведена замена на .Values.global.registry
#registry_path_igegose:                            # при использовании выделенного path для istio 1.6
#registry_path_igegse117:                          # при использовании выделенного path для istio 1.17
#registry_path_igegse119:                          # при использовании выделенного path для istio 1.19
#registry_path_igegse:                             # при использовании выделенного path для istio 1.20 установить несколько федераций, важно учитывать изменение 
#registry_path_loga:                               # при использовании выделенного path для fluent-bit
#registry_path_otts:                               # при использовании выделенного path для OTT
registry_path: /dev                                # Docker path где расположен образы FSSM
indexFederation: ''                                # уникальный идентификатор установки FSSM, указывается при необходимости установить несколько федераций, важно учитывать изменение адреса ({{ if not (eq .Values.indexFederation "") }}{{ .Values.indexFederation }}-{{ end }}grpc-federation-discovery.{{ if .Values.global.clusterName }}{{ .Values.global.clusterName }}{{ else }}{{ .Values.cluster }}{{ end }}), также используется для унификации конфигураций ролевой модели и webhooks (указание параметра необходимо без специальных символов)
cluster: apps.stands.solution.sbt                  # наименование кластера, формата «apps.stands-vdc01.solution.sbt»
region: 'moscow'                                   # наименование региона, где производится установка компонента
useControl: ose                                    # используемая версия Istio, при использовании версии 1.6 необходимо указать значение «ose», при использовании контрольной панели POLM реализовать значение «ose-se» и при использовании POLM в рамках Kubernetes необходимо указать значение «k8s»
serviceIstiod: istiod-basic                        # наименование сервиса контрольной панели, компонента «istiod»
istioControlPlane: sbt-controlplane                # наименование namespace контрольной панели, к которой подключен namespace компонента FSSM
discoveryCluster: apps.stands.solution.sbt         # наименование кластера, где установлен лидер FederationDiscovery (описание про лидера реализовано в документе «Детальная архитектура» в разделе «Диаграммы развертывания»)
discovery_external_port: 443                       # внешний порт по которому идет обращение к discovery (подставляется в ServiceEntry)
#discovery_external_ip: *.*.*.*                    # внешний IP-адрес discovery, указывается опционально, при указании параметра «discovery_resolution: STATIC» 
discovery_resolution: DNS                          # resolution адреса discovery (подставляется в ServiceEntry)
discovery_persistent_type: kubeapi                 # указание места хранения федеративной маршрутизации (kubeapi - внутри кластера, Postgresql - использование postgreSQL)  
discoveryLeaderInNamespace: 'true'                 # при установке компонента FederationController в рамках namespace лидера компонента FederationDiscovery необходимо указать значение «'true'», если лидер FederationDiscovery располагается в другом кластере необходимо указать значение «'false'»
kubeAPIIP: '*.*.*.*'                               # IP-адрес сервиса KubeAPI (kubernetes.default.svc.cluster.local)
kubePort: 443                                      # Port сервиса KubeAPI (kubernetes.default.svc.cluster.local), параметр указывается при установке в Kubernetes кластер (useControl: k8s)
kubeAPIRefreshTokenPeriod: 30000                   # период проверки токена при обращении в KubeAPI, указывается в миллисекундах (активный при выставлении параметра «projectedKubeAPI: 'true'»)
kubeAPIResolution: DNS                             # resolution в рамках реализации конфигурации «kind: ServiceEntry» по host Kube API server
kubeEgressRouting: TLS                             # реализация конфигураций Istio (TLS перехват трафика в рамках tls, TCP перехват трафика по tcp, DISABLE инициация по HTTP протоколу и реализация сертификата на egress)
projectedKubeAPI: 'false'                          # признак монтирования токена для работы с KubeAPI, если стоит значение false, то токен будет примонтирован автоматически, если true то токен будет примонтирован в рамках Deployment
seccompProfile: 'false'                            # флаг установки параметра seccompProfile в секции securityContext у «kind: Deployment» (указанный параметр поддерживается в Kubernetes версии 1.25+)
generate_ephemeral_storage: 'true'                 # флаг установки ephemeral-storage в рамках контейнеров, конкретизация ресурсов указывается для каждого контейнера отдельно, при установке флага как «false» монтирование ephemeral-storage производиться не будет
affinity: 'true'                                   # флаг установки podAntiAffinity с конкретизацией метки (label) при установке на Node
poddistruptionbudget: 'true'                       # флаг установки конфигурации «kind: PodDistruptionBudget»
enabledPriorityClassName: 'true'                   # флаг установки параметра PriorityClassName в рамках «kind: Deployment»
priorityClassName: system-cluster-critical         # значение параметра PriorityClassName в рамках «kind: Deployment»
validating_protocol_sex: "false"                   # режим валидации протоколов при регистрации «kind: ServiceExport» и проверки в корректной интеграции «kind: ServiceImport» (например сервер опубликовал GRPC порт, а потребитель пытается настроить HTTP интеграцию - в данном случае FSSM выдаст ошибку и опишет ошибку в рамках конфигурации)
affinityMatchKey: beta.kubernetes.io/arch          # реализация affinityMatchKey в рамках IGEG
affinityMatchValues:                               # реализация affinityMatchValues в рамках IGEG
   - amd64
   - ppc64le
   - s390x
ottUserConfig: ose                                 # версия контрольной панели для реализации конфигурации «kind: EnvoyFilter» для реализации в рамках пользовательских интеграций. ose реализация конфигурации в рамках версии API envoy v2, k8s реализация конфигурации в рамках версии API envoy v3
workloadSelectorDRS_Federation: 'true'             # добавление в федеративные конфигурации DestinationRule секции workloadSelector на egressgateway
ottInstall: 'true'                                 # необходимость установки ОТТ в рамках проекта FSSM
add_kind_sidecar_cp: 'true'                        # включение в рамках «kind: sidecar» проект контрольной панели

webhooks:    
  install: "true"                                  # флаг установки конфигураций «MutatingWebhookConfiguration» и «ValidatingWebhookConfiguration» из дистрибутива
  namespaceSelectorMutation: "true"                # реализация namespaceSelector в рамках конфигурации по мутации ({{ Имя проекта федерации }}-federation)
  useCertManager: "true"                           # публикация конфигурации «kind: Certificate»

nginx:
  backendProtocol: HTTPS                           # значение аннотации в рамках «kind: Route» - nginx.ingress.kubernetes.io/backend-protocol

installRoleModel: "true"                           # флаг установки ролевой модели из дистрибутива (без реализации RoleBinding в рамках пользовательских namespace)
roleBindings:
  install: "false"                                 # реализация RoleBinding              
  useCustom:
    install: "false"                           # уникальные конфигурации одного из клиента, по организации ролевой модели
#    synapse_federation_controller_crb:        # данные для роли synapse_federation_controller_crb
#      version:
#      roleUID:
#      hash:
#    synapse_federation_discovery:             # данные для роли synapse_federation_discovery
#      version:
#      roleUID:
#      hash:
#    synapse_federation_leases:                # данные для роли synapse_federation_leases
#      version:
#      roleUID:
#      hash:
#    synapse_federation_discovery_leases:      # данные для роли synapse_federation_discovery_leases
#      version:
#      roleUID:
#      hash:
#    synapse_federation_controller:            # данные для роли synapse_federation_controller
#      version:
#      roleUID:
#      hash:

add_serviceaccount: 'false'                        # флаг установки «kind: ServiceAccount»
image_pull_secret: pull                            # наименование imagePullSecrets для успешного обращения в docker registry

peer_authentication: 
  install: 'true'                                  # флаг установки конфигурации «kind: PeerAuthentication»
  mtls_mode: STRICT                                # указание используемого мода

bootstrap:
  mode: 'false'                                    # флаг использования федеративного трафика для приложения FederationController (добавляется в федерацию сервис FederationDiscovery), поддерживает работоспособность при использовании PostgreSQL для синхронизации
  use_default_address: 'true'                      # использование адреса «{{ if not (eq .Values.indexFederation "") }}{{ .Values.indexFederation }}-{{ end }}grpc-federation-discovery.{{ if .Values.global.clusterName }}{{ .Values.global.clusterName }}{{ else }}{{ .Values.cluster }}{{ end }}» для федеративной маршрутизации, при значении «false» будет создан дополнительный Ingresses/Route предназначенный для федеративного трафика «grpc-bootstrap-discovery{{ .Values.indexFederation }}.{{ .Values.cluster }}»
  ott: 'true'                                      # использование ОТТ при организации федеративного трафика для приложения FederationController
  gateway:                                         # опционально, при значении параметра «use_default_address: 'false'» необходимо будет реализовать сертификаты для федеративного адреса «{{ if not (eq .Values.indexFederation "") }}{{ .Values.indexFederation }}-{{ end }}grpc-bootstrap-discovery.{{ if .Values.global.clusterName }}{{ .Values.global.clusterName }}{{ else }}{{ .Values.cluster }}{{ end }}» на ingressgateway конфигурация «kind: Gateway»
    caCertificates:
      path: /etc/service/federation-secret
      name: ca.crt
    privateKey:
      path: /etc/service/federation-secret
      name: cert.key
    serverCertificate:
      path: /etc/service/federation-secret
      name: cert.crt
  destinationRule:                                 # опционально, при значении параметра «use_default_address: 'false'» необходимо будет реализовать сертификаты для федеративного адреса «{{ if not (eq .Values.indexFederation "") }}{{ .Values.indexFederation }}-{{ end }}grpc-bootstrap-discovery.{{ if .Values.global.clusterName }}{{ .Values.global.clusterName }}{{ else }}{{ .Values.cluster }}{{ end }}» на egressgateway конфигурация «kind: DestinationRule»
    caCertificates:
      path: /etc/service/federation-secret
      name: ca.crt
    privateKey:
      path: /etc/service/federation-secret
      name: cert.key
    clientCertificate:
      path: /etc/service/federation-secret
      name: cert.crt

traffic_policy:                                    # настройки default-traffic-policy.yml, указаны значения по умолчанию
  loadBalancer:
    localityType: SYNAPSE
    localityLbSetting:
      enabled: true
    simple: ROUND_ROBIN
  outlierDetection:
    baseEjectionTime: 1m
    consecutive5xxErrors: 4
    interval: 1m
    maxEjectionPercent: 100
  retryPolicy:
    attempts: 3
    retryOn: 5xx
    retryRemoteLocalities: true
  connectionPool:
    tcp:
      connectTimeout: 1s

crd:                   
  install_only_crd: "false"                        # произвести установку CRD без приложений FSSM

registration_federation_member_list:               # настройка функционала по регистрации пользовательских namespace посредством CRD
   use: "false"                                    # активировать регистрацию посредством «kind: FederationMemberList»
   federation_id:                                  # уникальный идентификатор федерации, выбирается пользователем  
   close_federation: "false"                       # разрешить регистрацию в федерацию только администратору, через конфигурацию «kind: FederationMemberList», если значение «false», то будет разрешена регистрация посредством «kind: FederationMember» 
   use_default_label_selector: "true"              # использовать значение labelSelector по логике прошлых версий - {{ .Values.namespace }}-federation: true (поддержка обратной совместимости)
  add_namespaces:                                  # добавление списка namespace в федерацию 
    - namespace: user-1
  exclude_namespaces:                              # реализовать список исключения из федерации при установке namespace
    - namespace: user-3
  use_custom_label_selector:                       # реализация собственного labelSelector, при необходимости (при использовании необходимо выставить флаг use_default_label_selector: "false")
    matchExpressions:
      - key: synapse-federation
        operator: In
        values:
          - true

#tenants_federation:                               # блок для создания последующих тенантов, в рамках регистрации пользовательских namespace
#  - federation_id:                                # уникальный идентификатор федерации, выбирается пользователем
#    use_default_label_selector: "false"           # использовать значение labelSelector по логике прошлых версий - {{ .Values.namespace }}-federation: true (поддержка обратной совместимости)
#  add_namespaces:                                 # добавление списка namespace в федерацию
#    - namespace: user-1
#    - namespace: user-2
#  exclude_namespaces:                             # реализовать список исключения из федерации при установке namespace
#    - namespace: user-3
#    - namespace: user-4
#  use_custom_label_selector:                      # реализация собственного labelSelector при необходимости (при использовании необходимо выставить флаг use_default_label_selector: "false")
#    matchExpressions:
#      - key: synapse-federation
#        operator: In
#        values:
#          - true

sync:                                               
  enabled: 'true'                                  # включение синхронизации данных в KubeAPI server при работе с PostgreSQL server, позволяет организовать копии федеративных конфигураций в рамках кластеров, для возможности производить плавный переход на работу с KubeAPI server              
  syncKubeAPIPeriod: '10000'                       # период синхронизации федеративных данных в KubeAPI server
  updatesPeriod: '3000'                            # период синхронизации федеративных данных в PostgreSQL server для анализа добавления/изменения/удаления федеративных сервисов
  retryDelay: '5000'                               # периодичность опроса логина и пароля в рамках подключения к Pangolin (discovery)
  retryAttempts: '5'                               # количество повторных попыток опроса логина и пароля в рамках подключения к Pangolin (discovery)

workerControllerCount:
  ingress: '2'                                     # количество потоков при обработке «kind: ServiceExport», чем больше потоков, тем быстрее происходит обработка, но используется больше ресурсов в рамках работы
  egress: '2'                                      # количество потоков при обработке «kind: ServiceImport», чем больше потоков, тем быстрее происходит обработка, но используется больше ресурсов в рамках работы
  trafficPolicy: '2'                               # количество потоков при обработке «kind: ServiceTrafficPolicy», чем больше потоков, тем быстрее происходит обработка, но используется больше ресурсов в рамках работы

postgre_connect_parameters: stringtype=unspecified&prepareThreshold=0         # параметры подключения к postgreSQL
postgre_address: vm-psql-dev:5432                                             # адрес postgreSQL server (пример vm-syndicute-psql.sy.dev:5432)
postgre_schema: fssm_federation                                               # имя схемы
postgre_database: fssm_data                                                   # имя базы данных
postgre_egress_protocol: TCP                                                  # используемый протокол в рамках namesapce FSSM, конфигурации «kind: Gateway» на egressgateway
postgresql:
  - datasource_url: vm-psql-dev                                               # хост сервера postgre                  
    name: master                                                              # наименование (для идентификации сервера, может принимать любое значение)
    server_ip: '*.*.*.*'                                                        # IP–адрес postgreSQL server
    localPort: 7443                                                           # уникальный неиспользуемый порт для корректной маршрутизации внутри namespace
    port: 5432                                                                # порт postgreSQL server
    resolution: DNS

igeg:
  version:                                      # флаг устанавливается только в том случае, если версия Istio 1.6/1.17/1.19 и выше (пример заполнения '1.17') 

istio:
  ingress:
    dsr:
      spec:
        trafficPolicy:
          outlierDetection:
            baseEjectionTime: 1m                   # значение параметра baseEjectionTime в рамках «kind: DestinationRule» при синхронизации данных
            consecutive5xxErrors: 10               # значение параметра consecutive5xxErrors в рамках «kind: DestinationRule» при синхронизации данных
            interval: 1m                           # значение параметра interval в рамках «kind: DestinationRule» при синхронизации данных
            maxEjectionPercent: 20                 # значение параметра maxEjectionPercent в рамках «kind: DestinationRule» при синхронизации данных

discovery:
  replicas: 1                                      # количество Pod у компонента FederationDiscovery
  livenessProbe:                                # параметры livenessProbe контейнера FederationDiscovery
    failureThreshold: 30
    initialDelaySeconds: 30
    periodSeconds: 10
    successThreshold: 1
    timeoutSeconds: 5
  readinessProbe:                               # параметры readinessProbe контейнера FederationDiscovery
    failureThreshold: 30
    initialDelaySeconds: 30
    periodSeconds: 10
    successThreshold: 1
    timeoutSeconds: 5
  strategy_type: RollingUpdate                     # strategy type в рамках «kind: Deployment» контейнера FederationDiscovery (поддержка Recreate и RollingUpdate)
  strategy:
    rollingParams:
      maxSurge: 100%                               # установка параметра maxSurge в рамках «kind: Deployment»
      maxUnavailable: 25%                          # установка параметра maxUnavailable в рамках «kind: Deployment»
  podDisruptionBudget:
    apiVersion: policy/v1                          # apiVersion конфигурации podDisruptionBudget для приложения FederationDiscovery
    spec:
      minAvailable: 1                              # значение параметра minAvailable конфигурации podDisruptionBudget для приложения FederationDiscovery
  resources:                                    # ресурсы приложения FederationDiscovery
    limits:
      cpu: 1
      ephemeral_storage: 500Mi
      memory: 1000Mi
    requests:
      cpu: 1
      ephemeral_storage: 500Mi
      memory: 1000Mi
  svpx:                                         # ресурсы приложения SVPX (сервисный прокси)
    resources:
      limits:
        cpu: 100m
        memory: 200Mi
      requests:
        cpu: 100m
        memory: 200Mi
  fluent:
    kafkaBrokersList: kafka-tdev.sion:9093         # список брокеров Kafka   
    kafkaTopic: fssm                               # топик Kafka
    capabilities: "false"                          # флаг установки securityContext/capabilities/drop/ALL приложению fluent-bit
    resources:                                  # ресурсы приложения fluent-bit
      limits:
        cpu: 100m
        ephemeral_storage: 500Mi
        memory: 200Mi
      requests:
        cpu: 100m
        ephemeral_storage: 500Mi
        memory: 200Mi
  leases_type_on: 'false'                     # параметр включающий использование leases (Api Group: coordination.k8s.io), ВНИМАНИЕ! при значении true необходимо развернуть ролевую модель использования leases (get, list, watch, create, update, patch, delete)
 
controller:
  replicas: 1                                      # количество Pod у компонента FederationController
  discovery_host_alias: 'false'                    # добавление host alias в рамках FederationController для организации федеративного трафика
  configurationHashCodeEnable: 'false'             # включение режима подсчет контрольных сумм, в рамках которых после обработки федеративных конфигураций будет вестись подсчет, позволяет снизить нагрузку при рестарте FederationController
  livenessProbe:                                   # параметры livenessProbe контейнера FederationController
    failureThreshold: 30
    initialDelaySeconds: 60
    periodSeconds: 10
    successThreshold: 1
    timeoutSeconds: 5
  readinessProbe:                               # параметры livenessProbe контейнера FederationController
    failureThreshold: 30
    initialDelaySeconds: 60
    periodSeconds: 10
    successThreshold: 1
    timeoutSeconds: 5
  strategy_type: RollingUpdate                    # strategy type в рамках «kind: Deployment» контейнера FederationController (поддержка Recreate и RollingUpdate)
  strategy:
    rollingParams:
      maxSurge: 100%                              # установка параметра maxSurge в рамках «kind: Deployment»
      maxUnavailable: 25%                         # установка параметра maxUnavailable в рамках «kind: Deployment»
  headLessValidationEnable: "true"                # включение(true)/выключение(false) функциональности по валидации headless сервиса, более подробно можно ознакомиться в документе Руководство прикладного разработчика, раздел «Валидация пользовательского «kind: Service»
  podDisruptionBudget:
    apiVersion: policy/v1                         # apiVersion конфигурации podDisruptionBudget для приложения FederationController
    spec:
      minAvailable: 1                             # значение параметра minAvailable конфигурации podDisruptionBudget для приложения FederationController
  rate_limiter_config:                            # ограничение запросов в рамках работы с Kube API server
    service:                                      # ограничение запросов в рамках работы с Kube API server по конфигурациям «kind: Service»
      enabled: 'false'                            # активация ограничения
      capacity: 400                               # 
      duration: 60
      tokensGeneratedInPeriod: 500
    service_export:                               # ограничение запросов в рамках работы с Kube API server по конфигурациям «kind: ServiceExport»
      enabled: 'false'                            # активация ограничения
      capacity: 400                               # максимальное количество запросов, более подробно можно ознакомиться в документации по механики работы Rate Limited
      duration: 60                                # длительность периода (секунды)
      tokensGeneratedInPeriod: 500                # количество запросов (ограничивающих) которое пополняется за период (duration)
    service_import:                               # ограничение запросов в рамках работы с Kube API server по конфигурациям «kind: ServiceImport»
      enabled: 'false'                            # активация ограничения
      capacity: 400                               # максимальное количество запросов, более подробно можно ознакомиться в документации по механики работы Rate Limited
      duration: 60                                # длительность периода (секунды)
      tokensGeneratedInPeriod: 500                # количество запросов (ограничивающих) которое пополняется за период (duration)
    traffic_policy:                               # ограничение запросов в рамках работы с Kube API server по конфигурациям «kind: ServiceTrafficPolicy»
      enabled: 'false'                            # активация ограничения 
      capacity: 400                               # максимальное количество запросов, более подробно можно ознакомиться в документации по механики работы Rate Limited
      duration: 60                                # длительность периода (секунды)
      tokensGeneratedInPeriod: 500                # количество запросов (ограничивающих) которое пополняется за период (duration)
  resources:                                  # ресурсы приложения FederationController 
    limits:
      cpu: 1
      ephemeral_storage: 500Mi
      memory: 1000Mi
    requests:
      cpu: 1
      ephemeral_storage: 500Mi
      memory: 1000Mi
  svpx:                                       # ресурсы приложения SVPX (сервисный прокси)
    resources:
      limits:
        cpu: 100m
        memory: 200Mi
      requests:
        cpu: 100m
        memory: 200Mi
  fluent:
    capabilities: "false"                     # флаг установки securityContext/capabilities/drop/ALL приложению fluent-bit
    resources:                                # ресурсы приложения fluent-bit
      limits:
        cpu: 100m
        ephemeral_storage: 500Mi
        memory: 200Mi
      requests:
        cpu: 100m
        ephemeral_storage: 500Mi
        memory: 200Mi
  leases_type_on: 'false'                     # параметр включающий использование leases (Api Group: coordination.k8s.io), ВНИМАНИЕ! при значении true необходимо развернуть ролевую модель использования leases (get, list, watch, create, update, patch, delete)

fluent:
  install: 'false'                                  # флаг установки fluent-bit, для сбора логов и передачи их в рамках kafka сервера
  add_parser_timestamp: 'true'                      # добавление в секцию [PARSER] информацию о timestamp 
  buffer_chunk_size: 400k                           # конфигурирование fluent-bit, секция [INPUT]
  buffer_max_size: 6MB                              # конфигурирование fluent-bit, секция [INPUT]
  mem_buf_limit: 6MB                                # конфигурирование fluent-bit, секция [INPUT]

vault:
  kv: DEV/A/DEV/FSSM/KV                             # путь к секретам vault во внешнем хранилище
  host_vault: secman.solution                       # host сервера vault
  ip_host: '*.*.*.*'                                # IP-адрес сервера vault
  port: 8443                                        # порт сервера vault
  resolution: DNS                                   # resolution в рамках «kind: ServiceEntry» для адреса vault
  perms_secret_0400: 'false'                        # добавление в рамках каждого объекта поставляемого в рамках Vault perms равному 0400 (256)
  pre_populate_only: "true"                         # режим мутации контейнера vault, в рамках IGEG (true - без мутации, false - с мутацией контейнера)
  pki_engine:
    enabled: 'false'                                # флаг, указывающий на использование PKI engine в рамках хранения сертификатов (общий, при указании 'false' все сертификаты будут использоваться из KV version 1)
    ingress:                                        # группа сертификатов использующиеся для входящего трафика
      federation:                                   # группа параметров для сертификата по интеграции приложений FSSM
        pki_enabled: 'false'                        # локальный флаг использования PKI engine
        pki_path: PKI/issue/pki                     # частичный пусть к PKI engine путь формируется по структуре ({{ .Values.vault.secmanNamespace }}/{{ .Values.vault.pki_engine.ingress.federation.pki_path }}), также необходимо указывать метод запроса, например «issue» и наименование роли в рамках которой будет реализован сертификат
        common_name: federation.host                # параметр в рамках указывающий «common_name» выпускаемого сертификата
        data:                                       # группа параметров для возможности изменения параметров по корневому сертификату
          ca:
            name: ca_chain                          # имя корневого сертификата в рамках PKI engine, пример реализации по умолчанию «{{ .Data.ca_chain }}»
            range: 'false'                          # флаг использования «range» для реализации цепочки сертификатов ({{ range $k, $v := .Data.ca_chain }} {{- $v }} {{- end -}})
      bootstrap:                                    # группа параметров для сертификата приложений FSSM (при использовании режима bootstrap и реализация отдельных сертификатов для этого)
        pki_enabled: 'false'
        pki_path: PKI/issue/pki
        common_name: bootstrap.host
        data:
          ca:
            name: ca_chain
            range: 'false'
      webhook:                                      # группа параметров для сертификата по webhook взаимодействию (при использовании сертификатов из vault, также при выпуске такого рода сертификата необходимо убедиться, что caBundle секция, в рамках webhook configuration доверяют друг другу)
        pki_enabled: 'false'
        pki_path: PKI/issue/pki
        common_name: webhook.host                   # при выпуске сертификата необходимо придерживаться логике формирования «common_name» - $имя сервиса.$имя проекта.svc
    egress:                                         # группа сертификатов использующиеся для исходящего трафика
      federation:                                   # группа параметров для сертификата по интеграции приложений FSSM
        pki_enabled: 'false'
        pki_path: PKI/issue/pki
        common_name: federation.host
        data:
          ca:
            name: ca_chain
            range: 'false'
      bootstrap:                                    # группа параметров для сертификата приложений FSSM (при использовании режима bootstrap и реализация отдельных сертификатов для этого)
        pki_enabled: 'false'
        pki_path: PKI/issue/pki
        common_name: bootstrap.host
        data:
          ca:
            name: ca_chain
            range: 'false'
      kafka:                                       # группа параметров для сертификата по интеграции с Kafka (при использовании агента сбора логов)
        pki_enabled: 'false'
        pki_path: PKI/issue/pki
        common_name: kafka.host
        data:
          ca:
            name: ca_chain
            range: 'false'
      postgres:                                    # группа параметров для сертификата по интеграции с Postgres (при использовании Postgres для синхронизации федераций)
        pki_enabled: 'false'
        pki_path: PKI/issue/pki
        common_name: postgres.host
        data:
          ca:
            name: ca_chain
            range: 'false'
  resources:
    limits:
      cpu: 500m                                     # ресурсы limits/cpu приложения vault
      memory: 128Mi                                 # ресурсы limits/memory приложения vault
    requests:
      cpu: 250m                                     # ресурсы requests/cpu приложения vault
      memory: 64Mi                                  # ресурсы requests/memory приложения vault
  secmanNamespace: DEV                              # namespace vault во внешнем хранилище
  secmanRole: role-ga-secman-fssm                   # роль vault во внешнем хранилище с доступом на чтение секретов
  add_secret_webhook: 'false'                       # флаг добавления сертификата на admission webhook запрос в vault
  add_label_secret_webhook: ''                      # идентификатор кластера для использования одного хранилища ключей, при подключении к нему нескольких федераций с разных кластеров. ВНИМАНИЕ! Наименование секрета будет изменено на "webhook<значение этого параметра>" 
  auth_path_enabled: 'false'                        # флаг использования аннотации «vault.hashicorp.com/auth-path» в рамках доступа к хранилищу vault
  auth_path: synapse/path                           # значение аннотации «vault.hashicorp.com/auth-path» в рамках доступа к хранилищу vault 
  
kafkaPort: 9093                                    # внешний порт брокера
kafka_add_external_port_vs: 'true'                 # флаг конкретизации внешнего порта в конфигурации «kind: VirtualService»
kafka_se_install: 'true'                           # флаг публикации конфигурации «kind: ServiceEntry» на каждый брокер
kafka_resolution: DNS                              # значение resolution конфигурации «kind: ServiceEntry» на каждый брокер
kafka:                                             # list брокеров, заполняются в зависимости от количества брокеров
  - host: broker1.ru                               # хост брокера №1
    name: brk1                                     # краткое наименование брокера №1
    ip: '*.*.*.*'                                  # ip брокера №1
    egressPort: 19021                              # любой свободный и уникальный порт для брокера №1
  - host: broker2.ru                               # хост брокера №2
    name: brk2                                     # краткое наименование брокера №2
    ip: '*.*.*.*'                                  # ip брокера №2
    egressPort: 19022                              # любой свободный и уникальный порт для брокера №2

ott:
  serviceHosts: host1.ru:8080                      # адреса серверов ОТТ (параметр configMap OTT - OTT_SERVICE_HOSTS, более подробно описано в документации компонента ОТТ)
  readinessProbe:                                  # readinessProbe параметры ОТТ приложения
    failureThreshold: 30
    initialDelaySeconds: 1
    periodSeconds: 2
    successThreshold: 1
    timeoutSeconds: 1
  ottHTTPport: 8080                                # порт (параметр configMap OTT - OTT_HTTP_PORT, более подробно описано в документации компонента ОТТ)
  ott_client_mmt_action_attrid: ott_action         # параметр configMap OTT - OTT_CLIENT_MMT_ACTION_ATTRID, более подробно описано в документации компонента ОТТ
  ott_client_mmt_resource_attrid: ott_resources    # параметр configMap OTT - OTT_CLIENT_MMT_RESOURCE_ATTRID, более подробно описано в документации компонента ОТТ
  ott_application_attribute_id: ott_application    # параметр configMap OTT - OTT_APPLICATION_ATTRIBUTE_ID, более подробно описано в документации компонента ОТТ
  ott_service_url: https://stub-host:stub-port     # параметр configMap OTT - OTT_SERVICE_URL, более подробно описано в документации компонента ОТТ
  resources:
    limits:
      cpu: 300m                                    # ресурсы limits/cpu приложения OTT
      ephemeral_storage: 500Mi                     # ресурсы limits/ephemeral_storage приложения OTT
      memory: 500Mi                                # ресурсы limits/memory приложения OTT
    requests:
      cpu: 300m                                    # ресурсы requests/cpu приложения OTT
      ephemeral_storage: 500Mi                     # ресурсы requests/ephemeral_storage приложения OTT
      memory: 500Mi                                # ресурсы requests/memory приложения OTT

ingress:
  replicas: 1                                      # количество реплик IGEG (igressgateway)
#  ingw_service_name:                              # наименование сервиса ingressgateway для организации webhook взаимодействия с webhook server (по умолчанию ingressgateway-${имя проекта FSSM})
  readinessProbe:                                  # readinessProbe параметры IGEG (igressgateway)
    failureThreshold: 30
    initialDelaySeconds: 1
    periodSeconds: 2
    successThreshold: 1
    timeoutSeconds: 1
  resources:
    limits:
      cpu: 300m                                    # ресурсы limits/cpu приложения IGEG (igressgateway)
      ephemeral_storage: 500Mi                     # ресурсы limits/ephemeral_storage приложения IGEG (igressgateway)
      memory: 500Mi                                # ресурсы limits/memory приложения IGEG (igressgateway)
    requests:
      cpu: 300m                                    # ресурсы requests/cpu приложения IGEG (igressgateway)
      ephemeral_storage: 500Mi                     # ресурсы requests/ephemeral_storage приложения IGEG (igressgateway)
      memory: 500Mi                                # ресурсы requests/memory приложения IGEG (igressgateway)

egress:
  replicas: 1                                      # количество реплик IGEG (egressgateway)
  readinessProbe:                               # readinessProbe параметры (egressgateway)
    failureThreshold: 30
    initialDelaySeconds: 1
    periodSeconds: 2
    successThreshold: 1
    timeoutSeconds: 1
  resources:
    limits:
      cpu: 300m                                    # ресурсы limits/cpu приложения IGEG (egressgateway)
      ephemeral_storage: 500Mi                     # ресурсы limits/ephemeral_storage приложения IGEG (egressgateway)
      memory: 500Mi                                # ресурсы limits/memory приложения IGEG (egressgateway)
    requests:
      cpu: 300m                                    # ресурсы requests/cpu приложения IGEG (egressgateway)
      ephemeral_storage: 500Mi                     # ресурсы requests/ephemeral_storage приложения IGEG (egressgateway)
      memory: 500Mi                                # ресурсы requests/memory приложения IGEG (egressgateway)

tracing:                                           # настройка передачи трейсов приложения IGEG
   custom_tags: ''                                 # обогащение заголовками
   zipkin:                                         # адрес сервиса для сбора трейсов
      svc: synapse-tracer-svc                      # имя сервиса для сбора трейсов (в рамках кластера)
      port: 8788                                   # порт сервиса для сбора трейсов (в рамках кластера)
   sampling: 100                                   # процент передаваемых трейсов (0-100)
   maxPathTagLength: 256                           # ограничение в рамках размера трейса
   tlsSettings:                                    # настройки TLS при передаче трейсов
      caCertificates: "/var/run/secrets/istio/root-cert.pem"
      mode: SIMPLE

discovery_sync_kubeapi: 5000                       # время синхронизации сведений из postgreSQL в etcd кластера

# указанный параметр задается посредством параметризации секции sync.syncKubeAPIPeriod

apiVersion: networking.istio.io/v1alpha3
kind: EnvoyFilter
metadata:
  name: sbt-authorization
spec:
  configPatches:
    - applyTo: HTTP_FILTER
      match:
        context: GATEWAY
        listener:
          filterChain:
            filter:
              name: envoy.http_connection_manager
          portNumber: 6443
      patch:
        operation: INSERT_BEFORE
        value:
          config:
            authorize_only_request: false # Флаг того, что авторизуются как HTTP Request, так и HTTP Response
            failure_mode_allow: false # Запрещает трафик при недоступности сервера авторизации
            grpc_service:
              google_grpc:
                stat_prefix: sbt_authz
                target_uri: 'unix:/mnt/ott-uds-socket/ott.socket'
              timeout: 10s
            sidecar_role: EGRESS
          name: envoy.sbt_authz
  workloadSelector:
    labels:
      app: ${EGRESS_SELECTOR}

apiVersion: networking.istio.io/v1alpha3
kind: EnvoyFilter
metadata:
  name: sbt-authorization-ingress
spec:
  configPatches:
    - applyTo: HTTP_FILTER
      match:
        context: GATEWAY
        listener:
          filterChain:
            filter:
              name: envoy.http_connection_manager
          portNumber: 5443
      patch:
        operation: INSERT_BEFORE
        value:
          config:
            authorize_only_request: false # Флаг того, что авторизуются как HTTP Request, так и HTTP Response
            failure_mode_allow: false # Запрещает трафик при недоступности сервера авторизации
            grpc_service:
              google_grpc:
                stat_prefix: sbt_authz
                target_uri: 'unix:/mnt/ott-uds-socket/ott.socket'
              timeout: 10s
            sidecar_role: INGRESS
          name: envoy.sbt_authz
  workloadSelector:
    labels:
      app: ${INGRESS_SELECTOR}

kind: ConfigMap
apiVersion: v1
metadata:
  name: fluent-bit
data:
  fluent-bit.conf: |-
    [SERVICE]
      Flush        1
      Daemon       Off
      Log_Level    Debug
      Parsers_File /fluent-bit/etc/parsers.conf

    [INPUT]
      Name   tail
      Tag file.tail
      Path   /opt/synapse/logs/*.log
      Parser        custom
      Buffer_Chunk_Size 400k
      Buffer_Max_Size 6MB
      Mem_Buf_Limit 6MB

    [OUTPUT]
      Name stdout

    [OUTPUT]
      Name kafka
      Match file.tail
      Brokers ${BROKERS}
      Topics ${TOPIC}
  parsers.conf: |-
    [PARSER]
     Name        custom
     Format      json

kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: synapse-rb-federation-controller
  namespace: ${PROJECT_NAME}
subjects:
  - kind: ServiceAccount
    name: synapse-federation-controller
    namespace: ${PROJECT_FEDERATION}
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: synapse-federation-controller