# Copier en .env (ignoré par Git) puis adapter : cp .env.example .env
# Lu par docker compose (substitution ${...} et env_file des services) ; hors
# conteneur : set -a; . ./.env; set +a
# Les lignes commentées donnent la valeur par défaut. Pour les secrets, préférer la
# variante _FILE (secret docker monté dans /run/secrets) à une valeur en clair ici.

# ---------- Commun ----------
TZ=Europe/Paris
# Port publié par docker-compose.demo.yml
# CONFSYNC_PORT=8080

# ---------- Interface web ----------
# LISTEN=:8080
# DATA_DIR=/data                       # base SQLite, secret.key, session.key
# SESSION_TTL=12h                      # durée Go : 30m, 8h, 24h…
# CONFSYNC_DEMO=false                  # true : faux clusters PVE, base temporaire

# Clé AES-256 des mots de passe root en base (64 caractères hex ou base64 de 32 octets) :
#   openssl rand -hex 32
# Ordre de lecture : CONFSYNC_SECRET_KEY, puis CONFSYNC_SECRET_KEY_FILE, sinon DATA_DIR/secret.key
# (créée au 1er démarrage). Le compose fournit déjà CONFSYNC_SECRET_KEY_FILE ; une valeur
# CONFSYNC_SECRET_KEY ici serait prioritaire. Sans cette clé, les mots de passe enregistrés sont perdus.
# CONFSYNC_SECRET_KEY=
# CONFSYNC_SECRET_KEY_FILE=/run/secrets/confsync_key

# Premier administrateur, créé au démarrage seulement si la base n'a aucun utilisateur
# et qu'un mot de passe est fourni. Sinon, la page de connexion le fait créer : le premier
# qui atteint l'instance devient administrateur.
# CONFSYNC_ADMIN_USER=admin
# CONFSYNC_ADMIN_PASSWORD=
# CONFSYNC_ADMIN_PASSWORD_FILE=/run/secrets/confsync_admin

# Comptes locaux (false exige OIDC)
# AUTH_LOCAL=true

# ---------- OIDC (optionnel ; actif dès que OIDC_ISSUER est renseigné) ----------
# OIDC_ISSUER=https://auth.example.org/application/o/confsync/
# OIDC_CLIENT_ID=confsync
# OIDC_CLIENT_SECRET=
# OIDC_CLIENT_SECRET_FILE=/run/secrets/oidc_client
# URL complète déclarée chez l'IdP ; son chemin devient la route de callback
# OIDC_REDIRECT_URL=https://confsync.example.org/auth/callback
# OIDC_SCOPES=openid profile email     # ajouter le scope qui fournit les groupes (ex. groups)
# OIDC_GROUPS_CLAIM=groups
# OIDC_ADMIN_GROUP=confsync-admins
# OIDC_OPERATOR_GROUP=confsync-operators
# OIDC_DEFAULT_ROLE=viewer             # admin, operator ou viewer