#!/usr/bin/env bash
# =============================================================================
# eBdesk SiCABE — Environment Defaults
# Sourced by install.sh and bootstrap.sh
# Override any value by exporting the variable before running install.sh
# or by creating deploy/.env with: export VAR=value
# =============================================================================

# ─── Global ─────────────────────────────────────────────────────────────────
export SICABE_ENV="${SICABE_ENV:-development}"
export COMPOSE_PROJECT_NAME="${COMPOSE_PROJECT_NAME:-sicabe}"
export SICABE_DOMAIN="${SICABE_DOMAIN:-localhost}"
export TIMEZONE="${TIMEZONE:-Asia/Jakarta}"

# ─── Secrets (ALWAYS override in production!) ───────────────────────────────
# Password statis agar konsisten saat docker-compose memproses env vars.
# Di production, overriede semua nilai berikut di file .env dengan password kuat.
#   openssl rand -hex 16 > .env

# PostgreSQL: 1 instance shared untuk semua service (beda database)
export POSTGRES_PASSWORD="${POSTGRES_PASSWORD:-sicabe_pg_super_DevOnly}"
export KEYCLOAK_DB_PASSWORD="${KEYCLOAK_DB_PASSWORD:-sicabe_kc_db_DevOnly}"
export NESSIE_DB_PASSWORD="${NESSIE_DB_PASSWORD:-sicabe_nessie_db_DevOnly}"
export AIRFLOW_DB_PASSWORD="${AIRFLOW_DB_PASSWORD:-sicabe_af_db_DevOnly}"
export OPENMETADATA_DB_PASSWORD="${OPENMETADATA_DB_PASSWORD:-sicabe_om_db_DevOnly}"

export KEYCLOAK_ADMIN_PASSWORD="${KEYCLOAK_ADMIN_PASSWORD:-admin123}"
export MINIO_ROOT_PASSWORD="${MINIO_ROOT_PASSWORD:-minio12345}"
export AIRFLOW_ADMIN_PASSWORD="${AIRFLOW_ADMIN_PASSWORD:-airflow123}"
export GRAFANA_ADMIN_PASSWORD="${GRAFANA_ADMIN_PASSWORD:-grafana123}"
export OPENMETADATA_ADMIN_PASSWORD="${OPENMETADATA_ADMIN_PASSWORD:-openmetadata123}"
# OpenLDAP (identity — sumber grup untuk Trino & StarRocks)
export LDAP_ADMIN_PASSWORD="${LDAP_ADMIN_PASSWORD:-ldap_admin_DevOnly}"
export LDAP_CONFIG_PASSWORD="${LDAP_CONFIG_PASSWORD:-ldap_config_DevOnly}"

# OIDC Client secrets untuk setiap komponen (wajib sinkron dengan konfigurasi
# Trino, Grafana, dll. yang menggunakan nilai hardcoded di file .properties)
export TRINO_CLIENT_SECRET="${TRINO_CLIENT_SECRET:-trino-secret}"
export STARROCKS_CLIENT_SECRET="${STARROCKS_CLIENT_SECRET:-starrocks-secret}"
export AIRFLOW_CLIENT_SECRET="${AIRFLOW_CLIENT_SECRET:-airflow-secret}"
export OPENMETADATA_CLIENT_SECRET="${OPENMETADATA_CLIENT_SECRET:-om-secret}"
export GRAFANA_CLIENT_SECRET="${GRAFANA_CLIENT_SECRET:-grafana-secret}"


# ─── Network ────────────────────────────────────────────────────────────────
export HTTP_PORT="${HTTP_PORT:-80}"
export HTTPS_PORT="${HTTPS_PORT:-443}"
# Catatan: PostgreSQL TIDAK diexpose ke host (internal network saja).
# Untuk debugging dari host: docker exec -it sicabe-postgres psql -U sicabe_admin -d keycloak

# ─── Skema Port Host (prefix 12xxx) ─────────────────────────────────────────
# Aturan: host port = "12" + 3 digit port kanonik. Port internal container tetap.
# Memudahkan pelatihan: seluruh endpoint ada di blok 12000-12999.

# ─── Keycloak (Phase 1 — Governance: IAM) ──────────────────────────────────
export KEYCLOAK_VERSION="${KEYCLOAK_VERSION:-26.7}"
export KEYCLOAK_PORT="${KEYCLOAK_PORT:-12080}"
export KEYCLOAK_DB="${KEYCLOAK_DB:-keycloak}"
export KEYCLOAK_DB_USER="${KEYCLOAK_DB_USER:-keycloak}"
export KEYCLOAK_DB_HOST="${KEYCLOAK_DB_HOST:-postgres}"
# CATATAN: KC_HOSTNAME_URL sudah DIHAPUS di Keycloak 26.0.0 — jangan dipasang lagi
# (dulu diekspor di sini, dan tidak berpengaruh apa pun). Yang menentukan issuer,
# discovery, dan redirect sekarang: KC_HOSTNAME = URL publik lengkap, yang di compose
# diisi dari KEYCLOAK_PUBLIC_URL (lihat docker-compose.yml service keycloak).
export SICABE_REALM="${SICABE_REALM:-sicabe}"
export KEYCLOAK_ADMIN="${KEYCLOAK_ADMIN:-admin}"

# ─── Identity — OpenLDAP (Phase 1b) ─────────────────────────────────────────
# LDAP = sumber kebenaran GRUP (Trino & StarRocks group provider).
# User tetap didefinisikan di realm Keycloak (autentikasi OIDC).
export OPENLDAP_VERSION="${OPENLDAP_VERSION:-1.5.0}"
export OPENLDAP_PORT="${OPENLDAP_PORT:-12389}"
export LDAP_ORGANISATION="${LDAP_ORGANISATION:-SiCABE}"
export LDAP_DOMAIN="${LDAP_DOMAIN:-sicabe.local}"
export LDAP_ADMIN_DN="${LDAP_ADMIN_DN:-cn=admin,dc=sicabe,dc=local}"
export LDAP_BASE_DN="${LDAP_BASE_DN:-dc=sicabe,dc=local}"
export LDAP_USERS_DN="${LDAP_USERS_DN:-ou=users,dc=sicabe,dc=local}"
export LDAP_GROUPS_DN="${LDAP_GROUPS_DN:-ou=groups,dc=sicabe,dc=local}"

# ─── MinIO (Phase 2 — Storage) ──────────────────────────────────────────────
# Image MinIO HANYA tersedia di quay.io — repo Docker Hub `minio/minio` dan
# `minio/mc` sudah tidak ada (pull gagal: "repository does not exist").
export MINIO_VERSION="${MINIO_VERSION:-RELEASE.2025-09-07T16-13-09Z}"
export MINIO_MC_VERSION="${MINIO_MC_VERSION:-RELEASE.2025-08-13T08-35-41Z}"
export MINIO_PORT="${MINIO_PORT:-12900}"
export MINIO_CONSOLE_PORT="${MINIO_CONSOLE_PORT:-12901}"
export MINIO_ROOT_USER="${MINIO_ROOT_USER:-minioadmin}"
export MINIO_BUCKET_ICEBERG_DATA="${MINIO_BUCKET_ICEBERG_DATA:-iceberg-data}"
# Nama + prefix path warehouse Iceberg. Dipakai IDENTIK di: Nessie
# (NESSIE_CATALOG_DEFAULT_WAREHOUSE + location S3), Trino default-warehouse-dir,
# StarRocks/OM/Sling external catalog. Ganti SATU nilai ini bila client memakai
# nama/path berbeda (mis. `wh`) — lalu `--generate --sync`.
export ICEBERG_WAREHOUSE="${ICEBERG_WAREHOUSE:-warehouse}"
# Prefix REST Iceberg pada Nessie (dipakai konsumen REST: Sling, StarRocks, gate fase 2).
# Nessie menyajikannya di `/iceberg` (tetap); ubah bila layanan existing memakai prefix lain.
export NESSIE_ICEBERG_PREFIX="${NESSIE_ICEBERG_PREFIX:-/iceberg}"

# Apache Nessie (Phase 2 — Storage: Metadata Catalog)
export NESSIE_VERSION="${NESSIE_VERSION:-0.108.4-java}"
export NESSIE_PORT="${NESSIE_PORT:-12120}"
# Nessie persistence database (PostgreSQL) — mengikuti konvensi shared Postgres
export NESSIE_DB="${NESSIE_DB:-nessie}"
export NESSIE_DB_USER="${NESSIE_DB_USER:-nessie}"

# ─── Alamat antar-container (multi-host) ────────────────────────────────────
# B1 (Review 10 §4.4): hostname yang dilihat CONTAINER saat menghubungi komponen
# lain. Kontrak: DEFAULT = nama container di docker-compose.yml → SINGLE-HOST
# TIDAK BERUBAH (dibuktikan diff `docker compose config` sha256 identik).
# Untuk menyebar komponen ke beberapa host, override ke alamat host pemilik:
#   POSTGRES_HOST=10.20.0.12   MINIO_HOST=10.20.0.12   KEYCLOAK_HOST=10.20.0.10
#   OPENMETADATA_HOST=10.20.0.10  STARROCKS_FE_HOST=10.20.0.11
# Dibedakan dari komponen EXISTING milik sistem lain (lihat bagian di bawah):
# yang itu memakai *_URL / S3_ENDPOINT + EXTERNAL_SERVICES.
export POSTGRES_HOST="${POSTGRES_HOST:-postgres}"
export MINIO_HOST="${MINIO_HOST:-minio}"
export KEYCLOAK_HOST="${KEYCLOAK_HOST:-keycloak}"
export OPENMETADATA_HOST="${OPENMETADATA_HOST:-openmetadata-server}"
export AIRFLOW_WEBSERVER_HOST="${AIRFLOW_WEBSERVER_HOST:-airflow-webserver}"
export STARROCKS_FE_HOST="${STARROCKS_FE_HOST:-starrocks-fe}"
export STARROCKS_CN_HOST="${STARROCKS_CN_HOST:-starrocks-cn}"
export OPENSEARCH_HOST="${OPENSEARCH_HOST:-openmetadata-opensearch}"

# ─── URL BROWSER-FACING (tls.mode != none) ──────────────────────────────────
# Dipakai HANYA untuk apa yang dilihat BROWSER (issuer OIDC, redirect, link UI) —
# BUKAN untuk lalu lintas container (itu memakai `*_HOST`/alamat di atas).
# Default = nilai sekarang, jadi tanpa perubahan apa pun perilakunya identik.
# Saat `tls.mode` = edge/full, generator menimpanya menjadi https://<label>.<domain>.
#   Perhatian: `iss` token memuat SKEMA, jadi berpindah none -> edge mengubah
#   issuer dan semua user harus login ulang (lihat R10 §5.7).
export KEYCLOAK_PUBLIC_URL="${KEYCLOAK_PUBLIC_URL:-http://localhost:${KEYCLOAK_PORT:-12080}}"

# Kebijakan SSL realm Keycloak. Default Keycloak `external` menuntut HTTPS untuk
# permintaan dari alamat NON-lokal — dan alamat Tailscale 100.64.0.0/10 (CGNAT)
# TERMASUK non-lokal, sehingga admin console via http://<tailscale>:12080 gagal
# dengan "HTTPS required". Keycloak 26 tidak punya opsi server-level untuk ini
# (tidak ada KC_HTTPS_REQUIRED), jadi harus per realm. Diisi `external` oleh
# generator saat tls.mode != none (ada Traefik/TLS di depan).
# Default `external` = aman: admin console via HTTP hanya diizinkan dari alamat lokal.
# Generator menulis `none` HANYA bila tls.mode != none... (mode `none` pada multi-host,
# yaitu HTTP polos ala dev) — di situ akses dari alamat Tailscale/CGNAT memang perlu
# diizinkan. Single-host (tanpa cluster.yml) tidak melewati generator, jadi ia memakai
# default ini dan tetap aman.
export KEYCLOAK_SSL_REQUIRED="${KEYCLOAK_SSL_REQUIRED:-external}"

# Cache Keycloak: `ispn` (default, registry di DB) atau `local` untuk instalasi
# SATU Keycloak — mematikan klaster + pemeriksaan cluster health.
export KEYCLOAK_CACHE="${KEYCLOAK_CACHE:-ispn}"

# ── Ingress / TLS (langkah 2, T-20) ──────────────────────────────────────────
# Traefik berjalan hanya pada profile `edge` (docker compose --profile edge).
# Tiap host menerbitkan sertifikatnya SENDIRI: acme.json tidak boleh dibagi antar
# host (Traefik tidak punya penyimpanan ACME terdistribusi), dan batas Let's
# Encrypt 5 sertifikat identik/minggu sebaiknya dihindari dengan staging dulu.
export CLUSTER_DOMAIN="${CLUSTER_DOMAIN:-sicabe.com}"
export TRAEFIK_VERSION="${TRAEFIK_VERSION:-v3.7}"
export TRAEFIK_HTTP_PORT="${TRAEFIK_HTTP_PORT:-80}"
export TRAEFIK_HTTPS_PORT="${TRAEFIK_HTTPS_PORT:-443}"
# Alamat bind port 80/443. Di multi-host diisi generator dengan alamat host,
# supaya ingress tidak terbuka di semua antarmuka.
export TRAEFIK_BIND_ADDR="${TRAEFIK_BIND_ADDR:-0.0.0.0}"
export TRAEFIK_ACME_EMAIL="${TRAEFIK_ACME_EMAIL:-admin@${CLUSTER_DOMAIN:-sicabe.com}}"
export TRAEFIK_DNS_PROVIDER="${TRAEFIK_DNS_PROVIDER:-cloudflare}"
# STAGING dulu (batas longgar). Produksi:
#   https://acme-v02.api.letsencrypt.org/directory
# Jeda sebelum LE memeriksa TXT. Apex + wildcard memakai nama TXT yang SAMA
# (_acme-challenge.<domain>), jadi propagasi perlu waktu — default Traefik 0s.
export TRAEFIK_ACME_PROPAGATION_DELAY="${TRAEFIK_ACME_PROPAGATION_DELAY:-30s}"
# Catatan lego/Cloudflare (opsional, diset sebagai env container bila perlu):
#   CLOUDFLARE_PROPAGATION_TIMEOUT (default 120), CLOUDFLARE_POLLING_INTERVAL (2), CLOUDFLARE_TTL (120)
export TRAEFIK_ACME_CASERVER="${TRAEFIK_ACME_CASERVER:-https://acme-staging-v02.api.letsencrypt.org/directory}"
# Cloudflare DNS-01: token API dengan izin Zone:DNS:Edit. WAJIB diisi sebelum
# sertifikat bisa diterbitkan; kosong = Traefik tetap start dan memakai
# sertifikat self-signed bawaan (routing masih bisa diuji).
export CF_DNS_API_TOKEN="${CF_DNS_API_TOKEN:-}"
export GRAFANA_PUBLIC_URL="${GRAFANA_PUBLIC_URL:-http://localhost:${GRAFANA_PORT:-12300}}"
# URL browser-facing: default localhost (nama internal airflow-webserver:8080 tidak
# bisa diresolusi browser). Bundle multi-host mengisinya dengan alamat host pemilik.
export AIRFLOW_PUBLIC_URL="${AIRFLOW_PUBLIC_URL:-http://localhost:${AIRFLOW_PORT:-12082}}"
export OPENMETADATA_PUBLIC_URL="${OPENMETADATA_PUBLIC_URL:-http://localhost:${OPENMETADATA_PORT:-12085}}"
export TRINO_PUBLIC_URL="${TRINO_PUBLIC_URL:-https://localhost:${TRINO_HTTPS_PORT:-12443}}"
export MINIO_CONSOLE_PUBLIC_URL="${MINIO_CONSOLE_PUBLIC_URL:-http://localhost:${MINIO_CONSOLE_PORT:-12901}}"

# ─── Endpoint Object Storage & Nessie ───────────────────────────────────────
# Default = container lokal hasil deploy ini (perilaku tidak berubah). Untuk
# memakai penyimpanan objek (S3/MinIO) atau Nessie EXISTING, override di .env:
#   S3_ENDPOINT      → dilihat CONTAINER (Trino, Nessie, StarRocks)
#   NESSIE_URL       → dilihat CONTAINER (Trino, Sling, StarRocks)
#   NESSIE_HOST/PORT → dilihat HOST (skrip verifikasi)
# Contoh:
#   S3_ENDPOINT=https://s3.corp.internal
#   S3_ACCESS_KEY=...      S3_SECRET_KEY=...      S3_REGION=ap-southeast-1
#   NESSIE_URL=https://nessie.corp.internal
export S3_ENDPOINT="${S3_ENDPOINT:-http://minio:9000}"
export S3_REGION="${S3_REGION:-us-east-1}"
# CATATAN: S3_ACCESS_KEY / S3_SECRET_KEY sengaja TIDAK di-default di sini.
# Bila di-default dari MINIO_ROOT_*, nilainya terkunci pada nilai default sebelum
# .env di-source (mis. minio12345) sehingga berbeda dari kredensial sebenarnya.
# Semua pemakaian memakai fallback saat-pakai: ${S3_ACCESS_KEY:-${MINIO_ROOT_USER:-...}}.
export NESSIE_URL="${NESSIE_URL:-http://nessie:19120}"
export NESSIE_HOST="${NESSIE_HOST:-localhost}"
export NESSIE_PORT="${NESSIE_PORT:-12120}"

# ─── Trino (Phase 3 — Processing) ───────────────────────────────────────────
export TRINO_VERSION="${TRINO_VERSION:-483}"
# TRINO_PORT = port HTTP polos historis. Trino TIDAK melayani HTTP polos
# (allow-insecure-over-http=false) dan port ini tidak di-expose. Dipakai gate Fase 3
# (verify-phase3-processing.sh) sebagai target uji-negatif "HTTP polos harus mati".
export TRINO_PORT="${TRINO_PORT:-12081}"
export TRINO_HTTPS_PORT="${TRINO_HTTPS_PORT:-12443}"
# Endpoint dari sisi HOST (gate verifikasi + bootstrap step 4). Untuk Trino
# EXISTING: TRINO_URL=https://trino.corp:8443 dan TRINO_TLS_VERIFY=1 (verifikasi TLS aktif;
# default 0 = lewati verifikasi, hanya untuk sertifikat self-signed dev).
export TRINO_URL="${TRINO_URL:-https://localhost:${TRINO_HTTPS_PORT:-12443}}"
export TRINO_TLS_VERIFY="${TRINO_TLS_VERIFY:-0}"
# Service account (HTTP Basic) untuk service/pipeline. Password di-hash (bcrypt)
# ke config/trino/password.db oleh bootstrap.sh/install.sh — pra-syarat: htpasswd.
export TRINO_SVC_SEED_PASSWORD="${TRINO_SVC_SEED_PASSWORD:-svc_seed_dev}"
export TRINO_SVC_DBT_PASSWORD="${TRINO_SVC_DBT_PASSWORD:-svc_dbt_dev}"
export TRINO_SVC_AIRFLOW_PASSWORD="${TRINO_SVC_AIRFLOW_PASSWORD:-svc_airflow_dev}"
export TRINO_SVC_OM_PASSWORD="${TRINO_SVC_OM_PASSWORD:-svc_om_dev}"
# Kunci HMAC tetap untuk `state` OAuth2 Trino (HMAC-SHA256). Default Trino = ACAK tiap start
# → sesi login OAuth2 yg sedang berjalan batal bila coordinator restart. Set tetap (acak per
# instalasi) agar stabil. Dipakai config-coordinator.properties lewat ${ENV:TRINO_OAUTH_STATE_KEY}.
export TRINO_OAUTH_STATE_KEY="${TRINO_OAUTH_STATE_KEY:-trino-oauth-state-dev-only}"

# ─── StarRocks (Phase 4 — Serving) ──────────────────────────────────────────
export STARROCKS_VERSION="${STARROCKS_VERSION:-4.0.13}"
export STARROCKS_FE_PORT="${STARROCKS_FE_PORT:-12930}"
export STARROCKS_HTTP_PORT="${STARROCKS_HTTP_PORT:-12030}"
# Endpoint dari sisi HOST (gate verifikasi + bootstrap step 5). Untuk StarRocks
# EXISTING: STARROCKS_HOST=starrocks.corp (dan STARROCKS_PORT=9030, port MySQL
# StarRocks — bukan port publish compose 12930).
export STARROCKS_HOST="${STARROCKS_HOST:-localhost}"
export STARROCKS_PORT="${STARROCKS_PORT:-${STARROCKS_FE_PORT:-12930}}"

# ─── Airflow (Phase 5 — Ingestion) ──────────────────────────────────────────
export AIRFLOW_VERSION="${AIRFLOW_VERSION:-3.3.2}"
export AIRFLOW_PORT="${AIRFLOW_PORT:-12082}"
# Endpoint dari sisi HOST (gate Fase 5, test-verification). Untuk Airflow
# EXISTING: AIRFLOW_HOST=airflow.corp (+ AIRFLOW_PORT sesuai) → install.sh tidak
# menyalakan service Airflow, dan uji container menjadi SKIP.
export AIRFLOW_HOST="${AIRFLOW_HOST:-localhost}"
# Secret key untuk JWT internal Airflow (task runner auth) — WAJIB sama di semua container
export AIRFLOW_SECRET_KEY="${AIRFLOW_SECRET_KEY:-sicabe_airflow_jwt_DevOnly_0123456789abcdef}"
export AIRFLOW_DB="${AIRFLOW_DB:-airflow}"
export AIRFLOW_DB_USER="${AIRFLOW_DB_USER:-airflow}"
export AIRFLOW_DB_HOST="${AIRFLOW_DB_HOST:-postgres}"
export AIRFLOW_EXECUTOR="${AIRFLOW_EXECUTOR:-LocalExecutor}"
# Image Airflow kustom. Sejak OM 2.0.2 image ini memuat extra
# `openmetadata-ingestion[airflow]` + plugin `openmetadata-managed-apis` yang
# disajikan di /pluginsv2/ — inilah yang menghidupkan tombol "Test Connection"
# di UI OpenMetadata (§8.11). Tag lama `3.3.1-slim` (tanpa plugin) tetap ada
# sebagai jalur rollback: set AIRFLOW_IMAGE=sicabe/airflow:3.3.1-slim.
# BATCH B (review R18, 2026-10-01): naik ke 3.3.2 (OM 2.0.3 mem-pin Airflow 3.3.2).
# Jalur rollback: sicabe/airflow:3.3.1-om202 (atau 3.3.1-om202-presqlalchemy).
# ⚠️ Image 3.3.2 di Python 3.13 DITOLAK pada uji go/no-go B3 (dbt mati) — yang
#    dipakai adalah varian Python 3.11. Lihat deploy/output/b3-hasil-uji.md.
# 2026-10-02: tag `-ol` = 3.3.2 + provider **OpenLineage** (permintaan pemilik
#    proyek). Provider itu INERT tanpa backend OpenLineage (belum ada di stack) —
#    jadi ini mengaktifkan kemampuan, belum menghasilkan lineage.
#    Rollback: sicabe/airflow:3.3.2-om203 (tanpa OpenLineage).
export AIRFLOW_IMAGE="${AIRFLOW_IMAGE:-sicabe/airflow:3.3.2-om203-ol}"

# ─── Image refs yang bisa diarahkan ke MIRROR/registry internal ──────────────
# Repositori asal bisa berubah kebijakan: mis. image community MinIO kini menuntut
# autentikasi → `pull` anonim GAGAL ("unauthorized"). Arahkan ke registry/mirror
# internal via var FULL-IMAGE di bawah, TANPA menyunting docker-compose.yml.
# Bila var ini tidak diset, default dibangun dari *_VERSION di atas (perilaku lama).
export MINIO_IMAGE="${MINIO_IMAGE:-quay.io/minio/minio:${MINIO_VERSION}}"
export MINIO_MC_IMAGE="${MINIO_MC_IMAGE:-quay.io/minio/mc:${MINIO_MC_VERSION}}"
export NESSIE_IMAGE="${NESSIE_IMAGE:-ghcr.io/projectnessie/nessie:${NESSIE_VERSION}}"

# ─── OpenLineage → OpenMetadata (eksperimen experiments/lineage-airflow-om) ──
# Provider OpenLineage sudah terpasang di image di atas, tetapi INERT sampai
# diarahkan ke OpenMetadata. Konfigurasi transport dibaca dari KONEKSI Airflow
# `openlineage_config` (bukan dari env) supaya token lineage TIDAK perlu
# ditulis di deploy/.env — lihat blok koneksi di bootstrap.sh.
#
# AKTIF sejak 2026-10-02 (adopsi opsi C — keputusan pemilik proyek).
# ⚠️ PRASYARAT: koneksi `openlineage_config` + `openmetadata_lineage_api` harus
#    SUDAH ADA. Pemuatan konfigurasi provider TIDAK dibungkus try/except, jadi
#    bila CONFIG_CONN_ID diisi sedangkan koneksinya belum ada, task dapat GAGAL.
#    Koneksi dibuat oleh `./bootstrap.sh` (langkah "Setup connections").
# Mematikan kembali : AIRFLOW_OPENLINEAGE_CONFIG_CONN_ID= (kosongkan).
export AIRFLOW_OPENLINEAGE_CONFIG_CONN_ID="${AIRFLOW_OPENLINEAGE_CONFIG_CONN_ID:-openlineage_config}"
# Namespace job OpenLineage — label asal job; tidak memengaruhi pemetaan tabel
# (pemetaan tabel berjalan otomatis lewat nama dataset + service OM).
export AIRFLOW_OPENLINEAGE_NAMESPACE="${AIRFLOW_OPENLINEAGE_NAMESPACE:-airflow_sicabe}"

export AIRFLOW__CORE__PARALLELISM="${AIRFLOW__CORE__PARALLELISM:-4}"
# Catatan (R18/A2): AIRFLOW_CONN_MINIO_ACCESS_KEY & AIRFLOW_CONN_MINIO_SECRET_KEY
# DIHAPUS dari berkas ini. Keduanya tidak pernah dikonsumsi skrip/compose mana pun
# (diverifikasi dengan grep seluruh repo) dan nilainya TIDAK SAH untuk MinIO
# produksi — pengujian langsung di experiments/airflow332 menghasilkan
#   SignatureDoesNotMatch (access key `minioadmin`, sedangkan secret-nya hanya
#  10 karakter padahal password root 32 karakter).
# Jalur resmi kredensial MinIO adalah S3_ACCESS_KEY / S3_SECRET_KEY dengan
# fallback saat-pakai ke MINIO_ROOT_* (lihat blok "S3 / MinIO" di atas) — itulah
# yang dipakai bootstrap.sh untuk membangun connection `minio_s3`, dan cara itu
# sudah terverifikasi bekerja. Ini sekaligus menutup item R02-L4.
# Catatan: AIRFLOW_CONN_TRINO_HOST/PORT DIHAPUS pada review Fase 5 — tidak pernah
# dikonsumsi skrip/compose mana pun, dan connection 'trino_default' yang dulu
# dibangun darinya sudah tidak disediakan (tidak dipakai DAG; versi lamanya
# menunjuk http://trino:8080 tanpa kredensial → 403). Lihat §7.6.

# ─── OpenMetadata (Phase 6 — Governance: Metadata) ─────────────────────────
# BATCH B (review R18): 2.0.2 -> 2.0.3 (wajib seversi dengan openmetadata-ingestion
# di image Airflow). Migrasi OM bersifat SATU ARAH — rollback = pulihkan dump
# (lihat deploy/output/merge-airflow332-rollback.md).
export OPENMETADATA_VERSION="${OPENMETADATA_VERSION:-2.0.3}"
export OPENMETADATA_PORT="${OPENMETADATA_PORT:-12085}"
export OPENMETADATA_DB="${OPENMETADATA_DB:-openmetadata_db}"
export OPENMETADATA_DB_USER="${OPENMETADATA_DB_USER:-openmetadata}"
# Endpoint dari sisi HOST (gate Fase 6, bootstrap step 7, test-verification).
# Untuk OpenMetadata EXISTING: OPENMETADATA_URL=http://om.corp:8585
export OPENMETADATA_URL="${OPENMETADATA_URL:-http://localhost:${OPENMETADATA_PORT:-12085}}"

# ─── Grafana (Phase 6 — Governance: Observability) ─────────────────────────
export GRAFANA_VERSION="${GRAFANA_VERSION:-13.1}"
export GRAFANA_PORT="${GRAFANA_PORT:-12300}"
# Endpoint dari sisi HOST. Untuk Grafana EXISTING: GRAFANA_URL=http://grafana.corp:3000
export GRAFANA_URL="${GRAFANA_URL:-http://localhost:${GRAFANA_PORT:-12300}}"
# Prometheus — sumber metrik untuk datasource Grafana (fase 6).
export PROMETHEUS_VERSION="${PROMETHEUS_VERSION:-v3.6.0}"
export PROMETHEUS_PORT="${PROMETHEUS_PORT:-12090}"
# statsd-exporter — metrik Airflow (StatsD/UDP 9125) → Prometheus :9102 (M2 observabilitas).
export STATSD_EXPORTER_VERSION="${STATSD_EXPORTER_VERSION:-v0.28.0}"
export STATSD_EXPORTER_PORT="${STATSD_EXPORTER_PORT:-12091}"
# jmx-exporter — saturasi Trino (JMX RMI) → Prometheus :9404 (M3 observabilitas).
export JMX_EXPORTER_VERSION="${JMX_EXPORTER_VERSION:-latest}"

# ─── Port tambahan hasil merge eksperimen (Fase 3-6) ────────────────────────
export OPENSEARCH_PORT="${OPENSEARCH_PORT:-12920}"
export OPA_VERSION="${OPA_VERSION:-1.20.2}"
export OPA_PORT="${OPA_PORT:-12181}"
# Endpoint OPA dari sisi HOST (gate verifikasi + bootstrap step 4). Untuk OPA
# EXISTING: OPA_URL=http://opa.corp:8181 (policy path tetap /v1/data/trino/allow).
export OPA_URL="${OPA_URL:-http://localhost:${OPA_PORT:-12181}}"
export OPENLDAP_PORT="${OPENLDAP_PORT:-12389}"
export DREMIO_UI_PORT="${DREMIO_UI_PORT:-12947}"
export DREMIO_JDBC_PORT="${DREMIO_JDBC_PORT:-12010}"
export DREMIO_FLIGHT_PORT="${DREMIO_FLIGHT_PORT:-12011}"

# ─── Endpoint IAM (Keycloak & OpenLDAP) ─────────────────────────────────────
# Default = container lokal hasil deploy ini. Untuk memakai IAM EXISTING,
# override di .env (tiga variabel):
#
#   KEYCLOAK_URL=http://kc.internal:8080     # dijangkau dari HOST (bootstrap/verify)
#   LDAP_URL=ldap://ldap.internal:389        # dijangkau dari CONTAINER (Trino & StarRocks)
#   LDAP_HOST=ldap.internal                  # dijangkau dari HOST (bootstrap/verify)
#   LDAP_PORT=389
#
# Dua alamat diperlukan karena pada mode lokal hostname-nya berbeda:
# container melihat `openldap:389`, host melihat `localhost:12389`.
export KEYCLOAK_URL="${KEYCLOAK_URL:-http://localhost:${KEYCLOAK_PORT:-12080}}"
export LDAP_URL="${LDAP_URL:-ldap://openldap:389}"
export LDAP_HOST="${LDAP_HOST:-localhost}"
export LDAP_PORT="${LDAP_PORT:-${OPENLDAP_PORT:-12389}}"
# Dremio admin dibuat otomatis oleh bootstrap.sh (Step 9) via REST API first-run,
# lalu dipakai script scripts/dremio/register-nessie-source.sh untuk source Nessie.
export DREMIO_URL="${DREMIO_URL:-http://localhost:12947}"

# ─── Port INTERNAL (container ↔ container) — bisa diparameterkan ─────────────
# Port yang dipakai ANTAR-container untuk menjangkau layanan; default = port
# container standar. Ubah HANYA bila layanan yang dipakai berjalan di port berbeda
# (mis. Keycloak/Postgres EXISTING) — cukup di .env, TANPA menyunting docker-compose.yml.
# Layanan milik cluster sendiri selalu memakai DEFAULT ini (hostname service + port container),
# jadi mengubahnya hanya relevan untuk layanan eksternal berport non-standar.
export POSTGRES_INTERNAL_PORT="${POSTGRES_INTERNAL_PORT:-5432}"
export KEYCLOAK_INTERNAL_PORT="${KEYCLOAK_INTERNAL_PORT:-8080}"
export MINIO_INTERNAL_PORT="${MINIO_INTERNAL_PORT:-9000}"
export NESSIE_INTERNAL_PORT="${NESSIE_INTERNAL_PORT:-19120}"
export OPENLDAP_INTERNAL_PORT="${OPENLDAP_INTERNAL_PORT:-389}"
export OPA_INTERNAL_PORT="${OPA_INTERNAL_PORT:-8181}"

# ─── Komponen EXISTING (dikelola sistem lain) ────────────────────────────────
# Bila sebuah komponen sudah dikelola sistem lain, container-nya TIDAK perlu
# (dan tidak boleh) dinyalakan oleh deploy ini. install.sh menyimpulkan ini
# secara OTOMATIS dari endpoint di atas: bila nilainya berbeda dari nilai lokal
# docker-compose.yml, komponen itu dianggap eksternal.
#
#   keycloak  lokal http://localhost:12080   → jadikan eksternal: KEYCLOAK_URL
#   openldap  lokal ldap://openldap:389      → LDAP_URL
#   minio     lokal http://minio:9000        → S3_ENDPOINT   (+ minio-init dilewati)
#   nessie    lokal http://nessie:19120      → NESSIE_URL
#   trino     lokal https://localhost:12443  → TRINO_URL
#   opa       lokal http://localhost:12181   → OPA_URL
#
# Postgres tidak punya variabel endpoint → set eksplisit bila dikelola DBA.
# EXTERNAL_SERVICES menang atas auto-deteksi; LOCAL_SERVICES memaksa kembali lokal.
# Nama service mengikuti docker-compose.yml (mis. starrocks-fe, airflow-webserver).
export EXTERNAL_SERVICES="${EXTERNAL_SERVICES:-}"
export LOCAL_SERVICES="${LOCAL_SERVICES:-}"
export DREMIO_USER="${DREMIO_USER:-admin}"
export DREMIO_PASSWORD="${DREMIO_PASSWORD:-dremio_admin_DevOnly1}"
export DREMIO_ADMIN_EMAIL="${DREMIO_ADMIN_EMAIL:-admin@sicabe.local}"

# ─── StarRocks credentials (root + aplikasi) ────────────────────────────────
export STARROCKS_ROOT_PASSWORD="${STARROCKS_ROOT_PASSWORD:-starrocks_root_DevOnly}"
export STARROCKS_APP_PASSWORD="${STARROCKS_APP_PASSWORD:-starrocks_app_DevOnly}"