sarex/iac
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

security-audit: отложить события Zitadel — отключить Job idp-actions-bootstrap

Browse Source 
PAT machine user'а security-audit-bootstrap не заведён (ни Vault-роль, ни статический
Secret), Job не сможет настроить Target/Execution'ы. Пайплайн logs/idp в access-collector
оставлен и инертен: без Target'а Zitadel ничего не отправляет. Обратное включение:
раскомментировать idp-actions-bootstrap в base/kustomization.yaml и его патч в оверлее
uralkal, добавить ключ zitadel_pat в Secret security-audit-kafka.
This commit is contained in:
emelinda 2026-11-06 17:34:05 +03:00
parent 3162679524
commit d4bbc5fd14
3 changed files with 8 additions and 3 deletions
Show Stats Download Patch File Download Diff File Expand all files Collapse all files

2
infrastructure/security-audit/README.md
View File

@ -17,7 +17,7 @@
| Каталог | Что | Namespace | | Каталог | Что | Namespace |
|---|---|---| |---|---|---|
| `base/` | оба коллектора, NetworkPolicy, AuthorizationPolicy, Namespace | `security-audit` | | `base/` | оба коллектора, NetworkPolicy, AuthorizationPolicy, Namespace | `security-audit` |
| `base/idp-actions-bootstrap/` | Job настройки Target/Execution'ов в Zitadel, скрипт и список событий | `security-audit` | | `base/idp-actions-bootstrap/` | Job настройки Target/Execution'ов в Zitadel, скрипт и список событий (**сейчас отключён** в `base/kustomization.yaml` — отложено, нет PAT) | `security-audit` |
| `mesh/` | EnvoyFilter и Telemetry шлюза; без `namespace` в kustomization, селектор шлюза — заглушка | `istio-system` | | `mesh/` | EnvoyFilter и Telemetry шлюза; без `namespace` в kustomization, селектор шлюза — заглушка | `istio-system` |
| `uralkal/` | оверлей: `base` + `mesh`, селектор шлюза, Kafka, `dependsOn` | — | | `uralkal/` | оверлей: `base` + `mesh`, селектор шлюза, Kafka, `dependsOn` | — |
| `../vault/uralkal-audit/` | Vault-часть журнала аудита Vault: оверлей поверх `vault/uralkal` (не подключён) | `vault` | | `../vault/uralkal-audit/` | Vault-часть журнала аудита Vault: оверлей поверх `vault/uralkal` (не подключён) | `vault` |

6
infrastructure/security-audit/base/kustomization.yaml
View File

@ -8,4 +8,8 @@ resources:
- authorizationpolicy-access-collector.yaml - authorizationpolicy-access-collector.yaml
- helmrelease-collector.yaml - helmrelease-collector.yaml
- helmrelease-access-collector.yaml - helmrelease-access-collector.yaml
- idp-actions-bootstrap # События Zitadel отложены: нет PAT machine user'а security-audit-bootstrap (роли в Vault нет,
# статический Secret не заведён). Обратное включение: раскомментировать здесь и патч
# idp-actions-bootstrap.yaml в оверлее uralkal, добавить ключ zitadel_pat в Secret.
# Пайплайн logs/idp в access-collector при этом инертен: без Job Target в Zitadel не создаётся.
# - idp-actions-bootstrap

3
infrastructure/security-audit/uralkal/kustomization.yaml
View File

@ -6,7 +6,8 @@ resources:
patches: patches:
- path: audit-collector.yaml - path: audit-collector.yaml
- path: access-collector.yaml - path: access-collector.yaml
- path: idp-actions-bootstrap.yaml # События Zitadel отложены (нет PAT); включать вместе с idp-actions-bootstrap в base/kustomization.yaml.
# - path: idp-actions-bootstrap.yaml
# Селектор ingress-шлюза (HelmRelease istio-system/ingressgateway): replace, а не merge — # Селектор ingress-шлюза (HelmRelease istio-system/ingressgateway): replace, а не merge —
# merge-patch CRD оставил бы и заглушку security-audit/gateway. # merge-patch CRD оставил бы и заглушку security-audit/gateway.
- target: - target: