#jinja2: trim_blocks:True, lstrip_blocks:True
# Аутентификация containerd в приватном реестре — на уровне НОДЫ k3s.
# Файл монтируется в /etc/rancher/k3s/registries.yaml на каждую ноду.
#
# Почему так, а не imagePullSecrets/regcred в каждом namespace: контур
# однотенантный и реестр всего один, поэтому узловая настройка избавляет от
# необходимости заводить секрет в каждом новом namespace. Манифесты из репозитория
# при этом продолжают ссылаться на regcred — отсутствующий imagePullSecret
# kubelet допускает: он логирует событие и тянет образ кредами ноды.
#
# ВНИМАНИЕ: файл содержит секрет. Рендерится с mode 0600, в git не попадает.
mirrors:
  "{{ registry_host }}":
    endpoint:
      - "https://{{ registry_host }}"

configs:
  "{{ registry_host }}":
    auth:
      username: "{{ registry_username }}"
      password: {{ registry_key_content | to_json }}