{ pkgs, ... }:
{
  services.postgresql = {
    # 雑に使えるサーバグローバルのPostgreSQLサーバを有効にしておきます。
    enable = true;
    # PostgreSQLのバージョンによって`dataDir`などが変更されます。
    # `stateVersion`依存でPostgreSQLのバージョンは定まります。
    # しかし忘れて全体をアップデートして壊れたりするのが嫌なので明示的に指定しておきます。
    # JITコンパイラは必要かわかりませんが、単純なクエリには使われないらしくデメリットが薄いそうなので、雑に有効にしておきます。
    package = pkgs.postgresql_17_jit;
    # サービス側で追加する方が良いかもしれませんが、
    # ここでデータベース一覧をまとめるメリットもあるのでこちらでの定義を選択します。
    ensureDatabases = [ "atticd" ];
    ensureUsers = [
      {
        name = "atticd";
        ensureDBOwnership = true;
      }
    ];
  };
}

{ username, ... }:
{
  services.atticd = {
    enable = true;
    # ```
    # echo -n 'ATTIC_SERVER_TOKEN_RS256_SECRET_BASE64="'|sudo tee /etc/atticd.env
    # openssl genrsa -traditional 4096|base64 -w0|sudo tee -a /etc/atticd.env
    # echo '"'|sudo tee -a /etc/atticd.env
    # sudo chown atticd: /etc/atticd.env && sudo chmod 640 /etc/atticd.env
    # sudo systemctl restart atticd
    # ```
    environmentFile = "/etc/atticd.env";
    settings = {
      listen = "[::]:10000"; # ポート番号は雑に定めました。深く考えていません。
      allowed-hosts = [ "nix-cache.ncaq.net" ];
      api-endpoint = "https://nix-cache.ncaq.net/";
      database.url = "postgresql:///atticd?host=/run/postgresql";
      storage = {
        type = "local";
        path = "/mnt/noa/atticd";
      };
      # chunkingはNixの設定でデフォルトが定まっているので任せます。

      # compressionはbtrfsがバックエンドであることを考えると、
      # むしろ明示的に無効にしておいたほうがストレージ効率は良いですが、
      # ネットワーク通信のことを考えると有効にしておいたほうが良いかもしれません。
      # デフォルト値に任せます。

      # ガベージコレクションはデフォルトに近い緩めの値を設定しておきます。
      garbage-collection = {
        interval = "1 day";
        default-retention-period = "6 months";
      };
    };
  };
  users.users.atticd = {
    isSystemUser = true;
    group = "atticd";
  };
  users.groups.atticd = {
    members = [ username ];
  };
  systemd.tmpfiles.rules = [
    "d /mnt/noa/atticd 0755 atticd atticd -"
  ];
  # 管理トークン発行例。
  # ```
  # TOKEN="$(sudo atticd-atticadm make-token --sub 'seminar' --validity '4y' --pull 'private' --push 'private' --create-cache 'private')"
  # ```
  # 読み書きトークン発行例。
  # ```
  # TOKEN=$(sudo atticd-atticadm make-token --sub 'bullet' --validity '4y' --pull 'private' --push 'private')
  # ```
  # トークンを利用してログインします。
  # ```
  # attic login ncaq https://nix-cache.ncaq.net/ "$TOKEN"
  # ```
}

{
  pkgs,
  username,
  ...
}:
let
  # workaround script that adds --protocol http2 flag to tunnel command.
  cloudflaredWrapper = pkgs.writeShellScriptBin "cloudflared" ''
    # Check if this is a tunnel command
    if [[ "$1" == "tunnel" ]]; then
      # Insert --protocol http2 before other tunnel arguments
      exec ${pkgs.cloudflared}/bin/cloudflared "$@" --protocol http2
    else
      # For non-tunnel commands, pass through as-is
      exec ${pkgs.cloudflared}/bin/cloudflared "$@"
    fi
  '';
in
{
  # To initialize, run in server:
  # ```
  # nix run 'nixpkgs#cloudflared' -- tunnel login
  # ```
  # copy credentialsFile from terraform client to server.
  services.cloudflared = {
    enable = true;
    package = cloudflaredWrapper;
    certificateFile = "/home/${username}/.cloudflared/cert.pem";
    tunnels.seminar = {
      default = "http_status:404";
      credentialsFile = "/home/${username}/.cloudflared/tunnel-seminar.json";
      ingress = {
        "nix-cache.ncaq.net" = "http://localhost:10000";
      };
    };
  };
}

{
  pkgs,
  ...
}:
{
  # 全てのビルド結果を非同期にプライベートキャッシュにpushします。
  systemd.user.services.attic-watch-store-ncaq-private = {
    Unit = {
      Description = "Attic Binary Cache Auto-Push Service for ncaq:private";
      # ネットワークなどの準備が整ってから起動します。
      After = [
        "network-online.target"
        "nix-daemon.service"
      ];
    };

    Service = {
      # クラッシュしてもしばらく後に再起動します。
      # 必須のサービスではないので間隔は長めです。
      Restart = "on-failure";
      RestartSec = "15s";

      # 必要なパスのみアクセス許可します。
      ReadOnlyPaths = [
        "/nix/store"
        "%h/.config/attic"
      ];
      # 直接コマンド実行
      ExecStart = "${pkgs.attic-client}/bin/attic watch-store ncaq:private";
    };

    Install = {
      WantedBy = [ "default.target" ];
    };
  };
}

{
  pkgs,
  ...
}:
{
  # 起動時にキャッシュ設定を初期化します。
  systemd.user.services.attic-use-ncaq-private = {
    Unit = {
      Description = "Initialize Attic Cache Configuration";
      After = [
        "network-online.target"
        "nss-lookup.target"
      ];
      Wants = [
        "network-online.target"
        "nss-lookup.target"
      ];
    };

    Service = {
      Type = "oneshot";
      ExecStartPre = "${pkgs.curl}/bin/curl --head --silent --fail --connect-timeout 5 --max-time 15 --retry 3 --retry-delay 5 --retry-all-errors https://nix-cache.ncaq.net/";
      ExecStart = "${pkgs.attic-client}/bin/attic use ncaq:private";
    };

    Install = {
      WantedBy = [ "default.target" ];
    };
  };
}