// Vault контура aero: file-хранилище на named volume, TLS терминируется выше
// (верхний nginx). Внутри compose-сети слушаем открытым HTTP.
// Инициализацию/распечатывание делает сервис vault-init (см. docker-compose.yaml).

ui = true

storage "file" {
  path = "/vault/file"
}

listener "tcp" {
  address     = "0.0.0.0:8200"
  tls_disable = true
}

// Адрес, который Vault сообщает клиентам (и себе при редиректах внутри сети).
api_addr = "http://vault:8200"

// mlock требует IPC_LOCK; в compose capability выдана, но в некоторых окружениях
// (RedOS в контейнере без CAP_IPC_LOCK) Vault упадёт на старте. Отключаем —
// swap на хосте контура и так выключен.
disable_mlock = true