設定リファレンス

Yagra の設定はすべて環境変数で行います — 設定ファイルはありません。バイナリはプロセス起動時に一度だけ環境を読み込むため、値を変更したら該当コンテナの再起動が必要です。同梱の compose ファイルを使う場合は、compose ファイルの隣の .env ファイルに変数を設定します。初期セットアップはインストールガイドを参照してください。

このページの変数は 2 種類あります:

バイナリが読む変数（yagra-core・yagra-poller、または両方）— 同梱の compose ファイルを使うかどうかにかかわらず、どのデプロイでも機能します。
compose 専用の変数 — compose ファイルを展開する際に Docker Compose または同梱の NATS サーバー設定が消費します。バイナリは一切読みません。末尾の専用セクションにまとめてあります。

シークレットは値ではなくファイルで渡します。 シークレットを扱う 3 つの変数 — YAGRA_KEK_FILE・YAGRA_SESSION_KEY_FILE・YAGRA_NATS_CALLOUT_SEED_FILE — は、マウントしたファイルへのパスを運びます。シークレットそのものは環境変数の値に決して現れないため、 docker inspect やプロセス環境から露出することはありません。

ブール変数（YAGRA_PUBLIC_DASHBOARD・YAGRA_ENABLE_HA・YAGRA_ENABLE_MCP）は 1・true・ yes・on（大文字小文字を区別しない）で真になり、未設定を含むそれ以外の値では偽になります。意図的な唯一の例外が YAGRA_STORE_FORWARD で、既定でオンです — store-and-forward の該当行を参照してください。

以下の表で、既定列のダッシュ（—）はその変数に既定値がないことを意味し、未設定時に何が起きるかは用途セルに記載しています。

Yagra-core

yagra-core バイナリが読む変数 — オーケストレーション、スケジューリング、ノースバウンド REST API。

バックエンドストア

データはその種類ごとに、それ用に作られたストアに格納されます（アーキテクチャ概要を参照）。コアがライブモードで動くには PostgreSQL・バス・VictoriaMetrics が必要で、それ以外のストアは任意です。

変数	既定	用途
`YAGRA_DATABASE_URL`	— (required)	メタデータストア用の PostgreSQL 接続 URL。起動時、接続は 2 秒間隔で 30 回リトライされます。
`YAGRA_TSDB_URL`	— (required)	VictoriaMetrics のベース URL — 時系列メトリクスストア。
`YAGRA_REDIS_URL`	unset	揮発性のポーラー死活・割当ミラー用の Redis URL。未設定・空・到達不能 ⇒ コアは一度だけログを出して no-op ミラーに縮退します — 致命的にはなりません。ミラーは再構築可能なので、Redis を失っても安全です。
`YAGRA_LOGS_URL`	unset	VictoriaLogs のベース URL — 検索可能なパッシブイベントストア。未設定 ⇒ パッシブイベントはすべて PostgreSQL に留まります。
`YAGRA_CLICKHOUSE_URL`	unset	ClickHouse の HTTP URL — トラフィックフローストア。未設定 ⇒ フロー受信は無効になり、フロー API は `503` を返します。
`YAGRA_PG_MAX_CONNECTIONS`	`20`	コアプロセス全体の接続プール上限。高可用性を有効にすると、リーダーの advisory lock 用接続がこのプールに加えて 1 本増えます — PostgreSQL の `max_connections` はそれを見込んでサイジングしてください。

API と認証

変数	既定	用途
`YAGRA_API_ADDR`	`0.0.0.0:8080`	REST API のバインドアドレス。コンテナのヘルスチェックも、プローブ先ポートを導くためにこれを読みます。
`YAGRA_PUBLIC_DASHBOARD`	`false`	読み取り専用エンドポイントを認証なしで提供します（公開ダッシュボード）。書き込みは引き続き認証が必要です。
`YAGRA_ADMIN_PASSWORD`	unset	`admin` アカウントの初回起動パスワード。アカウントが最初にシードされるときにだけ参照されます。未設定または空 ⇒ コアが一度限りのランダムなブートストラップパスワードを生成してログに一度だけ出力します — 周知の既定パスワードは存在しません。
`YAGRA_SESSION_KEY_FILE`	unset	マウントした HMAC セッション署名鍵へのパス（16 進 64 文字または生の 32 バイト）。コアの再起動を越えて有効で、HA ペアをまたいで機能する、ステートレスな署名付きセッショントークンを有効化します。未設定 ⇒ プロセスごとの不透明トークン。
`YAGRA_PAT_OIDC_IDLE_DAYS`	`30`	SSO でプロビジョニングされたアカウントが所有する API トークンが、所有者がサインインしないまま生き延びる日数。IdP 側でのアカウント無効化は Yagra に通知されないため、所有者の沈黙が唯一の手がかりです。ローカル/サービスアカウントが所有するトークンは対象外。1〜365 にクランプされ、無効化はできません。
`YAGRA_KEK_FILE`	unset	監視用認証情報を保存時にエンベロープ暗号化する、マウントしたマスタ鍵（KEK）へのパス。

WebUI の TLS

WebUI は既定で HTTPS で提供されます。正本の証明書は PostgreSQL に保管され、他のすべての秘密と同じ KEK でエンベロープ暗号化されたうえで、コアが web コンテナの読むボリュームへ実体化します。全体像はセキュリティを参照してください。

変数	既定	用途
`YAGRA_TLS_DIR`	unset	コアが証明書バンドルを実体化するディレクトリ（web コンテナの nginx が読みます）。未設定 ⇒ 何も書きません — TLS を別の場所で終端するデプロイの形です。同梱の compose ファイルは `/var/lib/yagra/tls` を設定します。
`YAGRA_TLS_SELF_SIGNED_SANS`	unset	ブートストラップの自己署名証明書が対象とする名前（カンマ区切り）。未設定 ⇒ ループバックとコンテナのホスト名。実際に入力されるアドレスをコンテナ内から知る術はないので、ここで指定するか設定 ▸ TLS 証明書で正しい名前を指定して再生成してください。
`YAGRA_API_BIND`	unset（⇒ `0.0.0.0`）	コアの平文 API ポートを公開するホスト側インターフェース。コア自身も読みますが、それは設定 ▸ TLS 証明書が「このポートがまだ LAN から届くか」を報告するためだけで、コンテナ内でコアが bind する先は変わりません。Prometheus の scrape・webhook 送信元・API スクリプトを TLS エッジへ移した後に `127.0.0.1` を設定してください。

次の 4 つは web コンテナのエントリポイントが読みます（どちらの Rust バイナリも読みません）:

変数	既定	用途
`YAGRA_WEB_TLS`	`on`	`off` / `false` / `0` にすると、コンテナの `8080` で平文 HTTP を配ります — 手前のリバースプロキシやロードバランサが既に HTTPS を終端している構成のための選択肢です。
`YAGRA_WEB_TLS_CERT`	`/etc/nginx/certs/server.pem`	web コンテナ内での、証明書チェーンと秘密鍵をまとめたバンドルのパス。1 ファイルに両方を収めているため、鍵と一致しない証明書が読まれる瞬間が生じません。
`YAGRA_WEB_TLS_WAIT_SECS`	`90`	エントリポイントがそのファイルを待つ秒数。タイムアウトはハードエラーです — TLS が要求された以上、黙って平文へ格下げするのではなく起動を拒否します。
`YAGRA_WEB_TLS_RELOAD_SECS`	`15`	取り込み・再生成された証明書を検知するためにバンドルをハッシュする周期。変更は `nginx -s reload` で適用され、しかも `nginx -t` が通った場合だけです — 不正な証明書は UI を落とさず、直前の設定が動き続けます。

スケジューリングとポーリングの既定値

変数	既定	用途
`YAGRA_POLL_INTERVAL_SECS`	`30`	初期の既定ポーリング間隔（秒）。10–3600 にクランプされます。初回起動のみ: この値は保存される設定を一度だけシードします。以後は WebUI の設定値が権威であり、この変数は無視されます。
`YAGRA_SNMP_COMMUNITY`	unset	認証情報が紐付いていないノードに使うフォールバックの SNMP v2c コミュニティ。未設定または空 ⇒ フォールバックなし — 該当ノードには認証情報の割り当てが必要です。
`YAGRA_MERAKI_POOL`	`default`	Meraki クラウドポーリングのジョブを振り分けるポーラープール。

通知

環境変数で設定する Webhook チャネルとメールチャネルは常時有効な既定チャネルで、WebUI で設定したどの通知チャネルとも並行して発火します。

変数	既定	用途
`YAGRA_WEBHOOK_URL`	unset	既定のアラート通知 Webhook — すべてのアラートで発火します。未設定または空 ⇒ 環境変数による Webhook チャネルなし。
`YAGRA_SMTP_HOST`	unset	既定メールチャネル用の SMTP リレーホスト。チャネルは `YAGRA_SMTP_HOST`・`YAGRA_SMTP_FROM`・`YAGRA_SMTP_TO` がすべて設定されているときにだけ有効になります。
`YAGRA_SMTP_PORT`	`465`	SMTP ポート。既定は implicit TLS（SMTPS）です。
`YAGRA_SMTP_FROM`	unset	メールの `From` アドレス。有効なメールボックスとしてパースできなければチャネルは破棄されます。
`YAGRA_SMTP_TO`	unset	メールの `To` アドレス。有効なメールボックスとしてパースできる必要があります。
`YAGRA_SMTP_USER`	unset	SMTP 認証のユーザー名。認証情報が適用されるのは `YAGRA_SMTP_USER` と `YAGRA_SMTP_PASS` の両方が設定されているときだけです。
`YAGRA_SMTP_PASS`	unset	SMTP 認証のパスワード。
`YAGRA_POOL_COVERAGE_ALERT_AFTER_SECS`	`300`	ノードを抱えたままのポーラープールに生存ポーラーが 1 台も居ない状態が何秒続いたら、監視カバレッジそのものについて critical アラートを上げるか。ポーラーは終了時に自ら離脱を通知するため、通常のローリング再起動でも条件は即座に成立します — このデバウンスはそれで誰も呼び出さないためのものです。`0` でアラートは無効。`yagra_pools_without_live_poller` と `yagra_pool_nodes_without_live_poller` のゲージはどちらの設定でも出力されます。

高可用性

アクティブ/パッシブ構成の完全な手順は高可用性ガイドを参照してください。

変数	既定	用途
`YAGRA_ENABLE_HA`	`false`	PostgreSQL の advisory lock によるリーダー選出を使う、オプトインのアクティブ/パッシブコアペア。オフ ⇒ 単一のアクティブコアで、非 HA と同一の挙動です。
`YAGRA_CORE_ID`	unset	このコアインスタンスの人間可読な id。HA のログと診断に表示されます。未設定 ⇒ 汎用ラベル。

MCP

AI クライアント向けに、任意で公開できる MCP のツール群です — MCP サーバーのページを参照してください。

変数	既定	用途
`YAGRA_ENABLE_MCP`	`false`	`/mcp` に MCP のツール群をマウントします。オフ ⇒ `/mcp` へのリクエストは 404 を返します。`/mcp` の認証は、公開ダッシュボードが有効なときでも常に必須です。
`YAGRA_MCP_ALLOWED_HOSTS`	unset	`/mcp` の `Host` ヘッダーを固定する、カンマ区切りの `host[:port]` 許可リスト（任意。DNS リバインディング対策）。未設定または空 ⇒ 任意の `Host` を受理します。必須の Bearer 認証は引き続きゲートとして機能します。

分析と AI RCA

トラブルシュート分析ジョブと AI 根本原因分析（RCA）生成に対する上限です。RCA 生成は外部の LLM を呼び出すため、RCA の上限は支出の上限も兼ねます。

変数	既定	用途
`YAGRA_ANALYSIS_MAX_CONCURRENT`	`4`	同時に実行できるトラブルシュート分析ジョブの上限。
`YAGRA_ANALYSIS_RATE_PER_MIN`	`30`	毎分受け付ける新規分析ジョブの上限（スライディング 60 秒ウィンドウ）。
`YAGRA_RCA_MAX_CONCURRENT`	`2`	同時に実行できる AI RCA 生成の上限。
`YAGRA_RCA_RATE_PER_MIN`	`10`	毎分受け付ける新規 RCA 生成の上限（スライディング 60 秒ウィンドウ）。
`YAGRA_RCA_CACHE_SECS`	`900`	RCA レポートのキャッシュ寿命（秒）。強制再生成はキャッシュを迂回しますが、レート上限は迂回しません。
`YAGRA_RCA_MAX_TURNS`	`6`	LLM 根本原因分析が回答に至るまでに使えるツール呼び出しのターン数上限。v0.1.23 以降、分析は読み取り専用の MCP ツールを自分で呼んで調べられます。`1` にすると以前の単発動作に完全に戻ります — ツールは一切提示されず、プロバイダへ送られるリクエストは以前とバイト単位で同一です。
`YAGRA_RCA_TASK_BUDGET_SECS`	`240`	1 回の根本原因分析（ツール呼び出しを含む）の実時間上限（秒）。上限に達した場合はリクエストを失敗させず、モデルの最後の回答を返します。

トラフィックフローと IP→ASN 補完

フローストアへの接続そのものは YAGRA_CLICKHOUSE_URL です（上のバックエンドストアを参照）。ここの変数は保持期間と IP→ASN 補完をチューニングします。トラフィックフロー機能のページを参照してください。

変数	既定	用途
`YAGRA_FLOW_RETENTION_DAYS`	`30`	フローレコードの保持期間（日数。ClickHouse の TTL として適用）。1–3650 にクランプされます。
`YAGRA_IPASN_DB`	unset	フローの IP→ASN 補完に使う、オフラインの iptoasn.com TSV データセットへのパス。未設定 ⇒ 補完は無効になり、エクスポーターが提供する AS 番号だけが使われます。ファイルが存在しない・読めない場合は警告をログに出して補完を無効化します — 致命的にはなりません。
`YAGRA_IPASN_RELOAD_SECS`	`0`	IP→ASN データセットを再起動なしでホットリロードする周期（秒）。`0` ⇒ 起動時に一度だけ読み込み、リロードタスクなし。

バス認証情報のスコープ化

バスをリモートポーラーへ公開する場合、コアは NATS Auth Callout サービスとして動作し、そのポーラーが必要とするサブジェクトだけに正確にスコープしたバス認証情報をポーラーごとに発行できます。3 つの変数はセットで機能します。シードファイルとポーラーパスワードがなければレスポンダは単に起動せず、 NATS は静的アカウントにフォールバックします。

変数	既定	用途
`YAGRA_NATS_CALLOUT_SEED_FILE`	unset	callout 応答への署名に使う、マウントした NATS アカウント nkey シードファイルへのパス。未設定 ⇒ Auth Callout レスポンダは起動しません。
`YAGRA_NATS_CALLOUT_ACCOUNT`	`$G`	発行したポーラーユーザーを配置する NATS アカウント。サーバーの `auth_callout` ブロックで指定したアカウントと一致している必要があります。
`YAGRA_NATS_POLLER_PASSWORD`	unset	callout が接続してくるポーラーを検証するための、ポーラー共有のブートストラップシークレット。未設定 ⇒ レスポンダは誰も認証できないため起動しません。同梱の NATS サーバー設定にも展開されます（compose 専用の変数を参照）。

Yagra-poller

yagra-poller バイナリが読む変数 — パッシブイベントとトラフィックフローのエッジリスナーも抱える、ステートレスなポーリングワーカーです。

バスと識別子

変数	既定	用途
`YAGRA_POLLER_ID`	hostname	ハートビート・作業セット割当・設定 ▸ ポーラーページで使われる、安定したポーラー識別子。未設定または空 ⇒ マシンのホスト名。それも解決できなければランダムな `poller-` id。`A–Z a–z 0–9 _ -` にサニタイズされます。
`YAGRA_POLLER_POOL`	`default`	このポーラーがノード割当のために担当するポーラープール（分散ポーリングを参照）。未設定の場合、このポーラーが受信したパッシブイベントとフローには `default` ではなくプールなしのタグが付きます。
`YAGRA_POLLER_QUEUE`	`pollers`	レガシーのジョブ単位ファンアウト経路用の NATS キューグループ名。
`YAGRA_BUS_CA_FILE`	unset	`tls://` のバス URL（リモートポーラー）で NATS サーバー証明書をピン留めするための CA／サーバー証明書ファイル。未設定または空 ⇒ ピン留めなし — 平文の単一ノード経路です。

ポーリング

変数	既定	用途
`YAGRA_MAX_CONCURRENT_POLLS`	`64`	同時実行プローブ総数の上限。各デバイスはさらに、同時に 1 つのインフライトプローブに制限されます。

パッシブイベントリスナー

syslog と SNMP トラップの受信です（パッシブイベントを参照）。各リスナーはバインドアドレスが設定されるまで無効のままです。2 つの YAGRA_LISTENER_* 変数は、次のセクションのトラフィックフローリスナーを含むすべてのエッジリスナーをチューニングします。

変数	既定	用途
`YAGRA_SYSLOG_BIND`	unset	syslog リスナーの UDP バインドアドレス（例 `0.0.0.0:1514`）。未設定または空 ⇒ リスナー無効。バインド失敗はログに出してそのリスナーをスキップします — 致命的にはなりません。
`YAGRA_TRAP_BIND`	unset	SNMP トラップリスナーの UDP バインドアドレス（例 `0.0.0.0:1162`）— v1/v2c のトラップと inform。未設定または空 ⇒ リスナー無効。
`YAGRA_TRAP_COMMUNITY`	unset	コミュニティ文字列が一致しないトラップを破棄します。未設定または空 ⇒ コミュニティフィルタなし — すべてのトラップを受理します。値は決してログに出しません。
`YAGRA_EVENT_RATE_PER_SOURCE`	`200`	syslog + トラップ受信の、送信元 IP ごとの毎秒イベント数上限（送信元ごとに 1 つの共有トークンバケット。実効レートの下限は `0.1`）。
`YAGRA_EVENT_RATE_GLOBAL`	`5000`	syslog + トラップ受信の、全送信元合計の毎秒イベント数上限。
`YAGRA_LISTENER_WORKERS`	auto (1–4)	エッジリスナーごとの並列読み取りソケット数。既定はホストの利用可能な並列度を 1–4 にクランプした値。`SO_REUSEPORT` のないプラットフォームでは常に 1 ソケットです。
`YAGRA_LISTENER_RCVBUF_BYTES`	`4194304`	リスナーソケットごとの受信バッファ（`SO_RCVBUF`）サイズ — 既定は 4 MiB。

トラフィックフローリスナー

NetFlow・IPFIX・sFlow の受信です。フローデータグラムには、syslog やトラップとは別の専用レート予算があります。

変数	既定	用途
`YAGRA_FLOW_BIND`	unset	NetFlow v5/v9 と IPFIX の UDP バインドアドレス（例 `0.0.0.0:2055`）。未設定または空 ⇒ リスナー無効。
`YAGRA_SFLOW_BIND`	unset	sFlow v5 の UDP バインドアドレス（例 `0.0.0.0:6343`）。レートリミッタ・アグリゲータ・フラッシャは NetFlow リスナーと共有します。
`YAGRA_FLOW_RATE_PER_SOURCE`	`1000`	送信元ごとの毎秒データグラム数上限（フローレコード数ではありません）。
`YAGRA_FLOW_RATE_GLOBAL`	`20000`	全エクスポーター合計のフローデータグラム上限。
`YAGRA_FLOW_TOP_N`	`500`	バケット×エクスポーターごとに保持する上位フロー数（バイト数順）— フローストアの主たるカーディナリティ制御です。
`YAGRA_FLOW_BUCKET_SECS`	`60`	フロー集約バケットの幅（秒）。

store-and-forward

リモートポーラーはネットワーク分断の間、結果をバッファし — メモリ上に、あふれればディスクへ退避して — リンクが復旧したときに再送します（分散ポーリングを参照）。

変数	既定	用途
`YAGRA_STORE_FORWARD`	on	結果バッファのマスタースイッチ。`off`・`false`・`0`・`no`（大文字小文字を区別しない）で無効化します。それ以外の値 — 未設定を含む — はオンを意味します。オフ ⇒ 純粋なパススルー: 結果はライブで発行され、失敗時は破棄されます。
`YAGRA_STORE_FORWARD_DIR`	`/var/lib/yagra/buffer`	ディスク退避先のディレクトリ。同梱の compose ファイルはここに名前付きボリュームをマウントします。ディレクトリを作成・走査できない場合、ポーラーはメモリのみのバッファリングに縮退します — クラッシュすることはありません。
`YAGRA_STORE_FORWARD_MEM_MAX`	`20000`	最も古い結果がディスクへ退避され始めるまでの、メモリ内リングのサイズ（結果件数）。
`YAGRA_STORE_FORWARD_DISK_MAX_MB`	`512`	ディスク退避の合計上限（MB）。最も古いセグメントを丸ごと破棄することで強制されます。
`YAGRA_STORE_FORWARD_MAX_AGE_SECS`	`86400`	これより古い（既定 24 時間）バッファ済み結果は再送時に破棄されます。
`YAGRA_STORE_FORWARD_DISK_FREE_FLOOR_MB`	`1024`	ファイルシステムの空き容量がこの MB 数を下回ったら退避を停止します — ホストディスクの安全床です。
`YAGRA_STORE_FORWARD_SEGMENT_MB`	`16`	退避セグメントのロールサイズ（MB）— ディスク上限の粒度です。`0` やパースできない値は組み込みの 16 MiB にフォールバックします。

両バイナリが読む変数

バス

変数	既定	用途
`YAGRA_BUS_URL`	—	NATS バスの URL — `nats://host:4222`、リモート拠点なら `tls://user:pass@host:4222`。コアはライブモードに必須です（上のスケルトンモードを参照）。これがないポーラーは警告をログに出してアイドルします。どちらのバイナリも接続を 2 秒間隔で 30 回リトライします。

自己監視

変数	既定	用途
`YAGRA_DISK_WATCH_PATHS`	`/=root`	`path` または `path=alias` エントリのカンマ区切りリスト — ホスト自己メトリクスが容量を報告するファイルシステムです。alias はメトリクスの `mount` ラベルになります（省略時はパスの最終セグメントから導出）。読めないパスはサンプルから黙って除外されます。

トレーシングとログ

変数	既定	用途
`YAGRA_OTEL_ENDPOINT`	unset	OpenTelemetry の span 送出先となる OTLP/HTTP エンドポイント（例 `http://jaeger:4318`）。未設定または空 ⇒ span は送出されません — 構造化ログのみ。不正なエンドポイントは警告を出してログのみへフォールバックし、起動を中断することは決してありません。
`OTEL_EXPORTER_OTLP_ENDPOINT`	unset	OpenTelemetry 標準のフォールバックエンドポイント。`YAGRA_OTEL_ENDPOINT` が未設定のときにだけ参照されます。
`OTEL_TRACES_SAMPLER`	`parentbased_always_on`	トレースサンプラ。認識される値: `always_on`・`always_off`・`traceidratio`・`parentbased_always_off`・`parentbased_traceidratio`。それ以外は既定（すべてサンプリング）にフォールバックします。大規模環境では `parentbased_traceidratio` を推奨します。
`OTEL_TRACES_SAMPLER_ARG`	`1.0`	比率ベースのサンプラに使うサンプリング比率。0.0–1.0 にクランプされます。
`YAGRA_LOG_DIR`	unset	1 時間ごとにローテートする JSON Lines ログの出力先ディレクトリ。stdout の代わりではなく追加で書きます。`docker logs` に手が届かない環境のための機能で、そうした環境ではパニックや OOM の痕跡が一切残りません。サポートバンドルはこのファイルを HTTP 経由で読み戻すため、復旧後に取得したバンドルにも落ちた実行のログが含まれます。未設定 ⇒ stdout のみ。書き込みはノンブロッキングで、ポーリングループを止めるくらいならログを落とします。ディレクトリが書けない場合も起動失敗ではなく、警告のうえ stdout のみに縮退します。
`YAGRA_LOG_RETAIN_HOURS`	`48`	`YAGRA_LOG_DIR` に保持する時間別ログファイルの本数。自動的に刈られるので、無人環境が自分のログでボリュームを埋め尽くすことはありません。
`RUST_LOG`	`info`	標準の `tracing` `EnvFilter` 構文による構造化ログのフィルタ — 素のレベル（`debug`）またはモジュール別ディレクティブ。

compose 専用の変数

これらの変数は、compose ファイルを展開する際に Docker Compose（または同梱の NATS サーバー設定）が消費します — バイナリは一切読みません。実行する compose ファイルの隣の .env ファイルに設定してください。使用箇所列は次の略記を使います: deploy = docker-compose.deploy.yml（pull 専用のサーバー構成）、 poller = docker-compose.poller.yml（スタンドアロンのリモート拠点ポーラー）、 single-node = docker-compose.yml、 nats = docker/nats/nats-server.conf。

変数	既定	使用箇所	用途
`YAGRA_IMAGE_TAG`	`latest`	deploy, poller	取得する、公開されている 3 つの `ghcr.io/horryworks/yagra-*` イメージのタグ。`latest` は最新の安定リリースです。本番では固定の `v<version>` タグを使ってください。
`POSTGRES_PASSWORD`	`yagra`	deploy	PostgreSQL のパスワード — `postgres` コンテナとコアの `YAGRA_DATABASE_URL` の両方に展開されます。本番では変更してください。
`YAGRA_API_PORT`	`8080`	deploy	コアの API ポートにマップするホストポート。
`YAGRA_WEB_PORT`	`443`	deploy	WebUI コンテナにマップするホストポート — HTTPS。ソースからビルドする単一ノード構成では既定が `8443` で、評価用スタックが特権ポートを必要としないようにしています。
`YAGRA_SYSLOG_PORT`	`514`	deploy	ポーラーの syslog リスナーにマップするホスト UDP ポート（コンテナポート 1514）。
`YAGRA_TRAP_PORT`	`162`	deploy	SNMP トラップリスナーにマップするホスト UDP ポート（コンテナポート 1162）。
`YAGRA_FLOW_PORT`	`2055`	deploy	NetFlow/IPFIX リスナーにマップするホスト UDP ポート。
`YAGRA_SFLOW_PORT`	`6343`	deploy	sFlow リスナーにマップするホスト UDP ポート。
`YAGRA_NATS_PORT`	`4222`	deploy	NATS バスを公開するホストポート（既定ではコメントアウト）。バスを公開するのは TLS + 認証を有効にした場合だけにしてください。
`YAGRA_CERT_DIR`	`./certs`	deploy, poller	NATS サーバー証明書（サーバー側）とポーラーの CA 証明書（リモート側。`YAGRA_BUS_CA_FILE` と対）のためにバインドマウントされるホストディレクトリ。
`YAGRA_NATS_CORE_PASSWORD`	— (required)	deploy, nats	NATS 静的認証設定の `core` ユーザーのパスワード。参照されているのに未設定だと NATS サーバーは起動時に終了します — fail-closed で、黙って既定値になることはありません。
`YAGRA_NATS_CALLOUT_ISSUER`	— (required)	deploy, nats	NATS サーバーがコアの Auth Callout JWT を検証するアカウントの公開鍵（`A…`）。callout ブロックを有効にしたときに必須で、コアのパスワードと同じく fail-closed です。
`YAGRA_CALLOUT_SEED_DIR`	`./callout`	deploy	`account.seed` を置くホストディレクトリ。コアに読み取り専用でマウントされます。`YAGRA_NATS_CALLOUT_SEED_FILE` と対になります。
`YAGRA_SESSION_KEY_DIR`	`./session`	deploy	`session.key` を置くホストディレクトリ。コアコンテナ（複数可）に読み取り専用でマウントされます。`YAGRA_SESSION_KEY_FILE` と対になります。
`YAGRA_IPASN_URL`	`https://iptoasn.com/data/ip2asn-combined.tsv.gz`	deploy, single-node	`ipasn-updater` サイドカーが取得するデータセットの URL — AS 補完のために外向き通信を必要とする唯一のコンテナです。
`YAGRA_IPASN_REFRESH_SECS`	`604800`	deploy, single-node	`ipasn-updater` サイドカーの取得周期 — 既定は 7 日です。

WebUI ビルド時

変数	既定	用途
`VITE_API_BASE`	empty	WebUI の API クライアントと SSE クライアントが呼ぶ API のオリジン — スキーム + ホスト + ポートで、パスは決して含みません。Vite によってビルド時に焼き込まれるため、ビルド済みイメージでは変更できません。空 ⇒ 同一オリジン: 本番イメージは同梱の nginx の背後で WebUI を配信し、nginx が `/api` をコアへプロキシします。別ホストのコアに対して WebUI を自分でビルドする場合にだけ設定してください。