# Значения приходят из корневого .env через Make (цели tofu-* в ansible/Makefile),
# который перекладывает PROXMOX_* в TF_VAR_*. Отдельного файла с секретами нет.

variable "pve_endpoint" {
  description = "URL Proxmox API. Цели tofu-* направляют его в локальный конец SSH-туннеля."
  type        = string
}

# --- Аутентификация ---------------------------------------------------------
# Ровно один из двух способов, выбор делает Makefile:
#
#   токен ansible@pve  — обычный режим. Не может features кроме nesting,
#                        device passthrough и bind mount каталога хоста.
#   root@pam + пароль  — привилегированный режим. Проверка в Proxmox буквальная
#                        (`$authuser eq 'root@pam'`), поэтому токен, даже
#                        принадлежащий root, её не проходит — нужен именно пароль.

variable "pve_api_token" {
  description = "Токен в формате user@realm!tokenid=secret. Пустая строка — не использовать."
  type        = string
  sensitive   = true
  default     = ""
}

variable "pve_username" {
  description = "Пользователь для парольной аутентификации, обычно root@pam. Пустая строка — не использовать."
  type        = string
  default     = ""
}

variable "pve_password" {
  description = "Пароль root@pam. Пустая строка — не использовать."
  type        = string
  sensitive   = true
  default     = ""
}

variable "pve_insecure" {
  description = "Не проверять TLS-сертификат Proxmox"
  type        = bool
  default     = true
}