From d4bbc5fd148cc5f22e1827d81827c30e786d36bf Mon Sep 17 00:00:00 2001 From: emelinda Date: Fri, 6 Nov 2026 17:34:05 +0300 Subject: [PATCH] =?UTF-8?q?security-audit:=20=D0=BE=D1=82=D0=BB=D0=BE?= =?UTF-8?q?=D0=B6=D0=B8=D1=82=D1=8C=20=D1=81=D0=BE=D0=B1=D1=8B=D1=82=D0=B8?= =?UTF-8?q?=D1=8F=20Zitadel=20=E2=80=94=20=D0=BE=D1=82=D0=BA=D0=BB=D1=8E?= =?UTF-8?q?=D1=87=D0=B8=D1=82=D1=8C=20Job=20idp-actions-bootstrap?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit PAT machine user'а security-audit-bootstrap не заведён (ни Vault-роль, ни статический Secret), Job не сможет настроить Target/Execution'ы. Пайплайн logs/idp в access-collector оставлен и инертен: без Target'а Zitadel ничего не отправляет. Обратное включение: раскомментировать idp-actions-bootstrap в base/kustomization.yaml и его патч в оверлее uralkal, добавить ключ zitadel_pat в Secret security-audit-kafka. --- infrastructure/security-audit/README.md | 2 +- infrastructure/security-audit/base/kustomization.yaml | 6 +++++- infrastructure/security-audit/uralkal/kustomization.yaml | 3 ++- 3 files changed, 8 insertions(+), 3 deletions(-) diff --git a/infrastructure/security-audit/README.md b/infrastructure/security-audit/README.md index 5bde1e4..5535571 100644 --- a/infrastructure/security-audit/README.md +++ b/infrastructure/security-audit/README.md @@ -17,7 +17,7 @@ | Каталог | Что | Namespace | |---|---|---| | `base/` | оба коллектора, NetworkPolicy, AuthorizationPolicy, Namespace | `security-audit` | -| `base/idp-actions-bootstrap/` | Job настройки Target/Execution'ов в Zitadel, скрипт и список событий | `security-audit` | +| `base/idp-actions-bootstrap/` | Job настройки Target/Execution'ов в Zitadel, скрипт и список событий (**сейчас отключён** в `base/kustomization.yaml` — отложено, нет PAT) | `security-audit` | | `mesh/` | EnvoyFilter и Telemetry шлюза; без `namespace` в kustomization, селектор шлюза — заглушка | `istio-system` | | `uralkal/` | оверлей: `base` + `mesh`, селектор шлюза, Kafka, `dependsOn` | — | | `../vault/uralkal-audit/` | Vault-часть журнала аудита Vault: оверлей поверх `vault/uralkal` (не подключён) | `vault` | diff --git a/infrastructure/security-audit/base/kustomization.yaml b/infrastructure/security-audit/base/kustomization.yaml index 12d05af..16a474e 100644 --- a/infrastructure/security-audit/base/kustomization.yaml +++ b/infrastructure/security-audit/base/kustomization.yaml @@ -8,4 +8,8 @@ resources: - authorizationpolicy-access-collector.yaml - helmrelease-collector.yaml - helmrelease-access-collector.yaml - - idp-actions-bootstrap + # События Zitadel отложены: нет PAT machine user'а security-audit-bootstrap (роли в Vault нет, + # статический Secret не заведён). Обратное включение: раскомментировать здесь и патч + # idp-actions-bootstrap.yaml в оверлее uralkal, добавить ключ zitadel_pat в Secret. + # Пайплайн logs/idp в access-collector при этом инертен: без Job Target в Zitadel не создаётся. + # - idp-actions-bootstrap diff --git a/infrastructure/security-audit/uralkal/kustomization.yaml b/infrastructure/security-audit/uralkal/kustomization.yaml index c2a9067..b805ff9 100644 --- a/infrastructure/security-audit/uralkal/kustomization.yaml +++ b/infrastructure/security-audit/uralkal/kustomization.yaml @@ -6,7 +6,8 @@ resources: patches: - path: audit-collector.yaml - path: access-collector.yaml - - path: idp-actions-bootstrap.yaml + # События Zitadel отложены (нет PAT); включать вместе с idp-actions-bootstrap в base/kustomization.yaml. + # - path: idp-actions-bootstrap.yaml # Селектор ingress-шлюза (HelmRelease istio-system/ingressgateway): replace, а не merge — # merge-patch CRD оставил бы и заглушку security-audit/gateway. - target: