# Les nœuds k3s ne sont pas sur le VPN (voir omnex/ansible/inventory/host.ini)
# et le dashboard Beszel (8090) doit rester accessible uniquement via le VPN
# (10.0.0.0/24) — donc pas question de pointer HUB_URL dessus. Le Hub expose
# à la place un port dédié 10002 (nginx, restreint aux 4 IP publiques des
# nœuds k3s-prod + chemin /api/ uniquement — voir
# ansible-mln/monitoring/security/nginx/nginx.conf et
# firewall-monitoring-uber.sh) : c'est CE port que les agents utilisent pour
# s'auto-enregistrer, jamais le dashboard.
#
# TOKEN : token universel généré dans le Hub (Add System > Universal token,
# expire au bout d'1h mais un agent déjà enregistré garde son identité).
# KEY : clé publique SSH du Hub (une seule pour tous les agents, quel que
# soit le système) — même valeur que celle déjà utilisée par l'agent
# s3-uber (voir ansible-mln/monitoring/s3-backup/docker-compose.yml).
apiVersion: v1
kind: Secret
metadata:
  name: beszel-agent-hub
  namespace: monitoring
type: Opaque
stringData:
  HUB_URL: "https://185.103.167.138:10002"
  TOKEN: "" # token universel généré dans le Hub
  KEY: "ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIEwRVn66crRDX5iL0bxNOnrp3OhTiXHKs+COx/bo5vmQ beszel-agent"