variable "minio_endpoint" {
  type        = string
  default     = "s3.arcodange.fr"
  description = "Hôte de l'API S3, SANS schéma (le provider ajoute https via minio_ssl). Public : le runner CI n'est pas dans le LAN et `.lab` ne s'y résout pas."
}

variable "consumers" {
  type = list(object({
    app    = string # nom de l'app — doit correspondre à son nom Vault (kvv2/<app>) et à son rôle k8s
    bucket = string # son bucket, qui doit exister dans `values.yaml` du chart (bloc `buckets`)
  }))
  default = [
    { app = "kadans", bucket = "kadans-videos" },
  ]
  description = "Apps autorisées à stocker des objets. Chacune reçoit un compte de service borné à SON bucket, dont les clés atterrissent dans kvv2/minio/<app>. Ajouter une app ici ne suffit pas : elle doit aussi déclarer kv_read_paths = [\"kvv2/data/minio/<app>\"] dans hashicorp-vault/iac/terraform.tfvars."
}