Container Process
    |
    | DNS query (port 53)
    v
nftables redirect ──> DNS Proxy (:15353)
                         |
                         |── Allowlistチェック（FQDN一致）
                         |── ブロック: NXDOMAIN応答
                         |── 許可: 上流に転送、解決されたIPをeBPF許可マップに追加
                         |── 記録: ドメイン、解決IP、PID、プロセス名
                         v
                    上流DNS（CoreDNS / 外部）
    
Container Process
    |
    | TCP/UDP egress (any port)
    v
eBPF cgroup-skb/egress フィルター
    |── IPが許可マップに存在？ ──> 許可（カウント）
    |── IPが信頼済みCIDRに含まれる？ ──> 許可（Podネット、サービスネット）
    |── クラウドメタデータ（169.254.169.254）？ ──> ブロック（常時）
    |── DoT（ポート853）？ ──> ブロック（常時）
    |── IPv6（非ループバック）？ ──> ブロック（常時）
    |── デフォルト ──> ブロック（リングバッファへのドロップイベント）

Pod（共有netns）
 +-- NetnsContext（Podごとに1つ）
 |    +-- DNSプロキシ（1組のgoroutine）
 |    +-- nftablesリダイレクトルール
 |    +-- eBPFプログラム + マップ
 |    +-- Ringbufリーダー
 |
 +-- コンテナA
 |    +-- CgroupLink（eBPFがAのcgroupにアタッチ）
 |    +-- ViolationRecorder
 |
 +-- コンテナB
      +-- CgroupLink（eBPFがBのcgroupにアタッチ）
      +-- ViolationRecorder

+------------------+          gRPC           +------------------+
|  Leitwacht エージェント | ──────────────────────> |  Leitwacht サーバー |
|  (ノードごと)    |                         |  (中央)          |
|                  |  GetPolicy(project)     |                  |
|  - Watcher       | <────────────────────── |  - ポリシーストア  |
|  - Enforcer      |                         |  - 違反DB        |
|  - DNSプロキシ   |  ReportViolations(job)  |  - REST API      |
|  - Reporter      | ──────────────────────> |  - フロントエンドSPA |
|  - Honeypot LSM  |                         |  - 通知          |
|                  |  Heartbeat()            |  - ベースライン   |
|                  | ──────────────────────> |  - 異常検知      |
+------------------+                         +------------------+

helm install leitwacht \
  oci://registry.gitlab.com/leitwacht/leitwacht/charts/leitwacht --version 1.18.0 \
  --set image.tag=1.18.0 \
  --set ingress.domain=example.com --set ingress.hosts[0]=leitwacht.example.com \
  --set grpcIngress.domain=example.com --set grpcIngress.hosts[0]=grpc-leitwacht.example.com \
  --set app.oidcIssuer=https://gitlab.com --set app.oidcClientId=<oauth-app-id> \
  --set clickhouse.embedded.password=<password>

helm install leitwacht-agent \
  oci://registry.gitlab.com/leitwacht/leitwacht/charts/leitwacht-agent --version 1.18.0 \
  --set agent.backendAddr="leitwacht.namespace.svc.cluster.local:9090" \
  --set agent.defaultAction=audit \
  --set agent.dnsUpstream="10.96.0.10:53,1.1.1.1:53" \
  --set agent.trustedCIDRs="10.244.0.0/16,10.96.0.0/12"

# バックエンド
go build ./cmd/agent
go build ./cmd/server

# フロントエンド
cd frontend && pnpm install && pnpm build

# gRPCコントラクト再生成 (contract/proto/** を編集後):
cd contract && buf generate proto/

# 単体テスト（任意のプラットフォーム）
go test ./...

# サイドカー（ClickHouse + Postgres）が必要な統合 / e2eテストは
# internal/store、internal/api、internal/agentgrpc 以下にあります。最初にそれらを起動してください。

# フロントエンド
cd frontend && pnpm test

# バックエンド
golangci-lint run ./...

# フロントエンド
cd frontend && pnpm lint