---
# 制御プレーン（manager / reaper）用 ServiceAccount。
# セッション NS 内で Pod / Service を作成・削除する権限のみを持つ（rbac.yaml）。
apiVersion: v1
kind: ServiceAccount
metadata:
  name: {{ include "claude-code.managerServiceAccountName" . }}
  namespace: {{ .Release.Namespace }}
  labels:
    {{- include "claude-code.labels" . | nindent 4 }}
automountServiceAccountToken: true
---
# セッション Pod 用 ServiceAccount。
# いかなる RBAC も紐づけず、トークンも配布しない（API サーバーへ到達不能）。
apiVersion: v1
kind: ServiceAccount
metadata:
  name: {{ include "claude-code.sessionServiceAccountName" . }}
  namespace: {{ include "claude-code.sessionsNamespace" . }}
  labels:
    {{- include "claude-code.labels" . | nindent 4 }}
automountServiceAccountToken: false