# set standard values for new elastic tenant helm values
---
elasticsearch:
  data:
    resources:
      requests:
        storageClass: topolvm-provisioner
  master:
    resources:
      requests:
        storage: 1Gi
        storageClass: topolvm-provisioner
  config:
    flavor: placeholder
    logging:
      enabled: true
    rbac:
      customUsers:
        logstash_writer:
          email:
          enabled: true
          roles:
            - logstash_admin_user
            - logstash_internal
      userRoles:
        elastic-superuser:
          applications:
            - application: "*"
              privileges:
                - "*"
              resources:
                - "*"
          cluster:
            - all
          indices:
            - allow_restricted_indices: true
              names: "*"
              privileges:
                - all
          run_as:
            - "*"
        logstash_writer:
          applications: [ ]
          cluster:
            - manage_index_templates
            - monitor
            - manage_ilm
          indices:
            - field_security:
                grant:
                  - "*"
              names:
                - pn-*
                - pits-*
                - test-*
                - dead-letter-*
                - customer-*
              privileges:
                - write
                - create
                - create_index
                - manage
                - manage_ilm
          metadata: { }
          run_as: [ ]
          transient_metadata:
            enabled: true
        prometheus_reader:
          applications: [ ]
          cluster:
            - cluster:monitor/prometheus/metrics
            - cluster:monitor/health
            - cluster:monitor/nodes/stats
            - cluster:monitor/state
          indices:
            - names: "*"
              privileges:
                - monitor
    xpack:
      license:
        self_generated_type: basic
      security:
        accessAgreement: |
          Sie sind dabei, auf potentiell durch die DSGVO geschützte Daten
          zuzugreifen.

          Durch Einloggen in dieses System bestätigen Sie, Kenntnis genommen
          zu haben, dass ihre Nutzung zwecks Auditierung protokolliert wird.
          Sie sind dem Datengeheimnis iSd Art. 29 DSGVO verpflichtet.
          Unautorisierte Nutzung des Systems ist strikt untersagt und kann
          rechtliche Konsequenzen zur Folge haben.

          Vor einer dienstlich notwendigen Übermittlung von Log-Daten mit
          personenbezogenen Daten ist eine (Pseudo-)Anonymisierung
          durchzuführen. Hierzu ist eine Datenschutzfolgeabschätzung beim
          Datenschutzbeauftragten ITZ vorzulegen.

          Für nicht anonymisierte Daten ist ein solcher Versand nur zulässig,
          wenn mit dem Hersteller eine Auftragsdatenvereinbarung nach Art. 28
          DSGVO oder § 62 BDSG, bei Auslandsbezug gem. Art. 44 - 46 DSGVO
          und/oder § 79 - 83 BDSG, abgeschlossen wurde. Zuwiderhandlung stellt
          regelmäßig einen Datenschutzverletzung dar.
        audit:
          enabled: false

  ilmPolicies:
    logging-std-7d:
      policy:
        phases:
          delete:
            actions:
              delete:
                delete_searchable_snapshot: true
            min_age: 7d
          hot:
            actions: { }
            min_age: 0ms
  image:
    version: placeholder
  indexTemplates:
    logging:
      index_patterns:
        - logging-*
      template:
        settings:
          index:
            lifecycle:
              name: logging-std-7d
            number_of_replicas: 1
            number_of_shards: 5
            unassigned:
              node_left:
                delayed_timeout: 15m
  ml:
    dedicated: false
epr:
  enabled: false
ingress:
  elasticsearch:
    enabled: false
    inspect: false
  epr:
    enabled: false
  kibana:
    enabled: true
    inspect: false
  kowl:
    enabled: false
  logstash:
    inspect: false
kafka:
  config:
    logging:
      enabled: true
  javaOpts:
    heap: -Xms -Xms
  replicas: 3
  # TODO: should be removed and replaced with "normal" kafka img when all tenants run `self-managed/kafka`
  setup:
    image:
      name: laas-craas.bcsv.cloud.itzbund.net/laas/self-managed/kafka
      version: 7.4.0-1

  topics:
    # TODO: 1) retention time of 7d is sufficient for §100/§5 tenants
    # TODO: 2) decide whether topics should be created here or in Logstash
    logging:
      partitions: 3
      replication: 2
      # NOTICE: max capacity: repl * part * rBytes + influx(gcFreq = 5min)
      retentionBytes: "1400000000"
      retentionMs: "86400000"
      segmentBytes: "500000000"
      segmentMs: "3600000"
  zookeeper:
    config:
      logging:
        enabled: true
    javaOpts:
      heapSize: 500m
    replicas: 3
    resources:
      limits:
        cpu: 300m
        memory: 1000Mi
      requests:
        cpu: 300m
        memory: 1000Mi
        storage: 1Gi
        storageClass: topolvm-provisioner
kibana:
  apiVersion: post710
  config:
    logging:
      enabled: true
    monitoring:
      enabled: true
    rbac:
      userRoles:
        kibana-user:
          elasticsearch:
            cluster: [ ]
            indices:
              - allow_restricted_indices: false
                names:
                  - logging-*
                privileges:
                  - read
                  - monitor
                  - view_index_metadata
            run_as: [ ]
          kibana:
            - base: [ ]
              feature:
                dashboard:
                  - all
                discover:
                  - all
                savedObjectsManagement:
                  - all
                savedObjectsTagging:
                  - all
                visualize:
                  - all
    xpack:
      security:
        cookieName: sid
  enabled: true
  image:
    version: placeholder
  replicas: 1
  resources:
    limits:
      cpu: 500m
      memory: 2Gi
    requests:
      cpu: 500m
      memory: 2Gi
logstash:
  config:
    logging:
      enabled: true
  gitSync:
    # TODO: use either branch name for floating versions,
    # TODO: tag/commit as fixed version equivalents
    branch: itzb/release
    username: tenant-reader
  image:
    version: 8.7.1
  ingest:
    codec: json
    enabled: true
    hostNetwork: false
    inProto: http
    javaOpts:
      heap: -Xms2000m -Xmx2000m
    nodePort: null
    nodeSelectors: null
    port: 8443
    replicas: 2
  pipeline:
    config:
      deadLetterQueue: false
    enabled: true
    javaOpts:
      heap: -Xms2000m -Xmx2000m
    memcached:
      enabled: false
    pipelines:
      - customer: laas
        id: simple
        injections:
          inputThreads: 3
        name: simple
        workers: 3
    pseudonymize: false
    replicas: 3
    resources:
      limits:
        cpu: 2
        memory: 4Gi
      requests:
        cpu: 2
        memory: 4Gi
    syncPipelines: false
oauthProxy:
  allowedGroups: [ ]
  emailClaim: email
  groupsClaim: groups
  image:
    name: laas-craas.bcsv.cloud.itzbund.net/laas/self-managed/oauth2-proxy
    version: v7.4.0
  issuerUrl:
    host: idp.laas.cloud.itz.in.bund.de
  request_logging: true
  scope:
    - email
    - groups
    - openid
    - profile
tls:
  externalCertificates:
    kibana:
      tls_crt: |
        -----BEGIN CERTIFICATE-----
        # Insert Certificate here when obtained from DTRust
        -----END CERTIFICATE-----
    tls_key: placeholderOverwriteFromSecret
  issuer:
    auth:
      path: placeholder
      role: placeholder
    name: placeholder
    secret:
      role: placeholder
    serviceAccount: default
  organizations:
    - ITZB