**Add Zitadel events ingestion pipeline with AuthorizationPolicy and initial Job configuration for security-audit namespace**

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

CLAUDE.md

@@ -25,11 +25,13 @@
 
 | Путь | Что |
 |---|---|
-| `clusters/` | 10 точек входа Flux — **источник истины «что где раскатано»** |
+| `clusters/` | 17 точек входа Flux + шаблон `contour` — **источник истины «что где раскатано»** |
-| `infrastructure/` | 36 платформенных компонентов |
+| `infrastructure/` | 44 платформенных компонента |
-| `apps/` | 37 прикладных сервисов |
+| `apps/` | 39 прикладных сервисов |
-| `docs/apps/` | 35 mermaid-диаграмм по сервисам + `README.md` с доменной группировкой |
+| `docs/apps/` | 34 mermaid-диаграммы по сервисам + `README.md` с доменной группировкой |
+| `docs/architecture/` | модель контура в ArchiMate + скрипты-сканеры (`scan_calls.py`, `scan_contour.py`) и сборка (`build_archimate.py`); реальные значения инсталляций сюда не кладутся, только `*.example.json` |
 | `docs/closed-contour-deployment.md` | ранбук поднятия закрытого контура |
+| `ci/`, `.gitlab-ci.yml`, `Dockerfile` | на тег `vX.Y.Z`: образ офлайн-зеркала `iac-offline` и публикация «слайсов» контуров (см. ниже) |
 | `README.md` | mermaid-мегакарта платформы, структура репозитория, инструкции по добавлению app / infra / кластера |
 | `IAC-CATALOG.md` | каталог всего `infra/*`; §5 — про этот репозиторий |
 | `inventory.yaml` | сгенерированный снимок прода: 59 namespace → kind → имена |
@@ -38,15 +40,18 @@
 
 **Кластер.** `clusters/<cluster>/kustomization.yaml` — плоский список `../../apps/<app>/<cluster>`. Инфраструктура подключается двумя разными способами:
 
-- `d8-ugmk-prod` — прямо в корневом kustomization как `../../infrastructure/<comp>/d8-ugmk-prod`;
+- `d8-ugmk-prod`, `sarex-contour`, `ugok`, `uralkal`, `vad` — прямо в корневом kustomization как `../../infrastructure/<comp>/<c>`;
-- `brusnika-prod`, `brusnika-stage` — через `clusters/<c>/infrastructure/kustomization.yaml`, который ссылается на оверлеи `../../../infrastructure/<comp>/<c>` (`base` + патч HelmRelease + сопутствующие манифесты компонента);
+- `brusnika-prod`, `brusnika-stage`, `vk-infra`, `vk-prod` — через `clusters/<c>/infrastructure/kustomization.yaml`, который ссылается на оверлеи `../../../infrastructure/<comp>/<c>` (`base` + патч HelmRelease + сопутствующие манифесты компонента);
-- `wb` — через `clusters/wb/infrastructure/kustomization.yaml`, который ссылается на `../../../infrastructure/<comp>` (резолвится в `base`), а различия лежат в `clusters/wb/infrastructure/patches/*.yaml`.
+- `wb`, `yc-cps-prod`, `yc-infra-prod`, `yc-k8s-test-02` — через `clusters/<c>/infrastructure/kustomization.yaml`, который ссылается на `../../../infrastructure/<comp>` (резолвится в `base`), а различия лежат в `clusters/<c>/infrastructure/patches/*.yaml`;
+- `stand` — послойно: `layers.yaml` объявляет Flux-`Kustomization` `00-vault → 10-mesh → 20-data → 30-platform → 40-routing` (каталоги `clusters/stand/<NN>-<layer>/`). Слои ссылаются на оверлеи `infrastructure/<comp>/contour-template`, а значения контура (`${STORAGE_CLASS}`, `${HOST_*}`, `${GATEWAY_REPLICAS}`) Flux подставляет через `postBuild.substituteFrom` из ConfigMap `contour-vars`.
 
-Кластеры: `brusnika-prod`, `brusnika-stage`, `d8-ugmk-prod`, `wb`, `yc-cps-prod`, `yc-ecp`, `yc-infra-prod`, `yc-k8s-test`, `yc-k8s-test-02`, `contour`.
+Кластеры с приложениями: `asterus`, `brusnika-prod`, `brusnika-stage`, `d8-ugmk-prod`, `sarex-contour`, `ugok`, `uralkal`, `vad`, `wb`, `yc-ecp`, `yc-k8s-test`. Только инфраструктура: `stand`, `vk-infra`, `vk-prod`, `yc-cps-prod`, `yc-infra-prod`, `yc-k8s-test-02`. Шаблон: `contour`.
 
 **Приложение.** `apps/<app>/base/` — по одному `.yaml` на процесс (`backend.yaml`, `celery.yaml`, `frontend.yaml`) плюс `namespace.yaml`; оверлеи в `apps/<app>/<cluster>/`. Namespace = имя приложения. Рядом с манифестами лежит документация: `CONFIGURATION.md` (все env-переменные и откуда берутся), `ENDPOINTS.md` (исходящие HTTP-вызовы), `openapi.yaml` (входящий контракт), `.env.example`. Если процессов несколько — файлы с префиксом процесса: `api.ENDPOINTS.md`, `pdm.CONFIGURATION.md`, `frontend.CONFIGURATION.md`.
 
-**Инфра-компонент.** `infrastructure/<comp>/base/` + оверлеи `<comp>/<cluster>/`. Корневой `infrastructure/<comp>/kustomization.yaml` всегда указывает просто на `base`. Чарты идут с суффиксом контура: `vault-contour`, `keycloak-contour`, `postgresql-contour` и — внимание — `idp-contour` это Zitadel.
+**Инфра-компонент.** `infrastructure/<comp>/base/` + оверлеи `<comp>/<cluster>/`. Корневой `infrastructure/<comp>/kustomization.yaml` всегда указывает просто на `base`. Оверлей `contour-template` (есть у vault, istio-*, cert-manager, postgresql, kafka, rabbitmq, zitadel, camunda, istio-config) — параметризованный `${VAR}`, а не привязанный к конкретному кластеру. Чарты идут с суффиксом контура: `vault-contour`, `keycloak-contour`, `postgresql-contour` и — внимание — `idp-contour` это Zitadel.
+
+**Слайсы.** На тег `vX.Y.Z` `ci/publish-slice.py generate` создаёт child-pipeline с отдельной джобой на каждый `clusters/*/kustomization.yaml`. Джоба вызывает `ci/build-slice.py`: тот обходит дерево Kustomize от `clusters/<c>` и упаковывает только нужные файлы в tar. Результат публикуется как OCI-артефакт `cr.yandex/crpct2b2lsmao4nm0cjk/<c>-iac:<tag>` (media type `application/vnd.sarex.slice.config.v1+json`). Так закрытый контур получает только свой срез. Тесты — `ci/tests/test_build_slice.py`.
 
 ## Где искать конкретное
 
@@ -62,18 +67,23 @@
 | Тег образа в контуре | `apps/<app>/<cluster>/*.yaml`, поле `image.tag` |
 | Что реально в проде по namespace | `inventory.yaml` |
 | Где лежит исходный код приложения | `IAC-CATALOG.md` §5.3.8 |
+| Что попадёт в слайс контура | `python3 ci/build-slice.py` по `clusters/<c>` (логика сбора — там же) |
+| Переменные шаблонного контура | `${...}` в `infrastructure/*/contour-template`; значения — ConfigMap `contour-vars` в кластере, не в репозитории |
 
 ## Ловушки
 
 - **`dsinv/`** — оверлей есть у 25 приложений, но `clusters/dsinv/` не существует. Это материализованный снимок живого контура WB, а не источник деплоя. Развёрнутым не считать.
-- **Две несовместимые конвенции оверлеев** (`IAC-CATALOG.md` §5.3.4). `d8-ugmk-prod`, `yc-k8s-test`, `dsinv` наследуют `base` и патчат его. `brusnika-prod`, `brusnika-stage`, `yc-ecp` — полные копии HelmRelease, которые молча дрейфуют от base. Правка `base` на них не влияет.
+- **Две несовместимые конвенции оверлеев** (`IAC-CATALOG.md` §5.3.4). `d8-ugmk-prod`, `yc-k8s-test`, `vad`, `uralkal`, `sarex-contour`, `dsinv` наследуют `base` и патчат его. `brusnika-prod`, `brusnika-stage`, `yc-ecp`, `asterus` — полные копии HelmRelease, которые молча дрейфуют от base. Правка `base` на них не влияет. **`wb` (4 из 27) и `ugok` (9 из 33) смешанные** — проверяйте `resources:` конкретного оверлея; в `ugok` причина обычно указана комментарием в его `kustomization.yaml`.
+- **`asterus` подключён почти пустым**: оверлеи есть у 26 приложений, но в `clusters/asterus/kustomization.yaml` активен только `auth-flow`, остальные закомментированы. Инфраструктуры в кластере нет.
+- **Слайс публикуется для каждого `clusters/*/kustomization.yaml`** — в том числе для тестовых и инфраструктурных кластеров. Новая папка в `clusters/` с этим файлом автоматически станет слайсом на следующем теге. У `contour` такого файла нет, поэтому для него слайс не собирается.
 - **`IAC-CATALOG.md` — снимок на 05.08.2026** и по составу приложений на контур уже расходится с реальностью (там у `wb` ноль приложений, фактически 26 оверлеев). Всегда сверяться с `clusters/*/kustomization.yaml`.
 - **Мегадиаграмма в `README.md` идеализирована** — рисована руками, показывает все приложения на одной Postgres и все фронтенды за `control-interface`. Проверяемые источники — env-переменные и istio-config.
 - **`clusters/contour/` — не кластер, а шаблон**: в нём нет `flux-system`, только `apps.yaml`, `infrastructure.yaml`, `helm-repositories.yaml`.
-- **Path-роутинг виден в репозитории только у `d8-ugmk-prod` и `yc-ecp`.** В Brusnika и WB весь прикладной трафик уходит одним правилом в `nginx-service.global-ingress` / `yet-another-nginx-service.global-ingress`, а разводка по путям происходит вне репозитория. Через Istio там публикуются только платформенные UI (Gitea, Grafana, OpenObserve, Superset, Vault, Zitadel, Camunda, MinIO).
+- **Path-роутинг лежит в `infrastructure/istio-config/<c>/` у большинства контуров, но не у WB.** В `clusters/wb/infrastructure/patches/istio-config.yaml` через Istio публикуются только платформенные UI (Gitea, Grafana, OpenObserve, Superset, Vault, GoAlert), а прикладной трафик разводится вне репозитория. В Brusnika схема смешанная: часть путей идёт напрямую в сервисы, остальное — одним правилом в `yet-another-nginx-service.global-ingress`.
-- **Имена namespace расходятся между источниками**: `inventory.yaml` использует суффикс (`flows-prod`), `apps/` — голое имя (`flows`).
+- **`vk-prod` маршрутизирует в namespace с суффиксом `-prod`** (`eav-prod`, `pm-prod`, `inspections-prod`), а приложений из `apps/` в этом кластере нет: сервисы раскатываются не этим репозиторием.
-- **17 оверлеев приложений не подключены ни к одному кластеру** — мёртвый код.
+- **Имена namespace расходятся между источниками**: `inventory.yaml` и `vk-prod` используют суффикс (`flows-prod`), `apps/` — голое имя (`flows`).
-- **Нет диаграмм** в `docs/apps/` для `iam`, `auth-flow`, `ams-sync`.
+- **66 оверлеев приложений не подключены ни к одному кластеру**: 25 — `dsinv`, 25 — закомментированные в `asterus`, остальные 16 — мёртвый код (в основном `brusnika-prod`, плюс `bi`/`iam` в `wb` и `yc-k8s-test`).
+- **Нет диаграмм** в `docs/apps/` для `ams-sync`, `auth-flow`, `bi`, `iam`, `premises`.
 - **Чистые фронтенды без бэкенда в этом репозитории**: `auth-flow`, `control-interface`, `cross-section`, `document-link`, `prescriptions`, `projects`, `remarks`, `reviews`, `stamp-verification`. Бэкенд `projects` живёт в `planning/projects-backend`.
 - Самые центральные сервисы по числу входящих ссылок: `documentations` (~85), `processing` / `workflow` (~76), `django` (~53), `eav` (~47), `resources` (~44), `bim` (~39), `flows` (~38). Менять их конфигурацию — дороже всего.
 

apps/django/d8-ugmk-prod/backend.yaml

@@ -8,6 +8,9 @@ spec:
   values:
     services:
       backend:
+        deployment:
+          replicaCount:
+            _default: 2
         envs:
           - name: ALLOWED_HOSTS
             value:

apps/eav/wb/django-configmap.yaml

@@ -18,7 +18,7 @@ data:
 
     # DEBUG SETTINGS START
     # ---------------------------------------------------------------------------------------------------------------------
-    DEBUG = True
+    DEBUG = False
     ALLOWED_HOSTS = ['*']
     # ---------------------------------------------------------------------------------------------------------------------
     # DEBUG SETTINGS END

apps/flows/d8-ugmk-prod/backend.yaml

@@ -9,6 +9,8 @@ spec:
     services:
       backend:
         deployment:
+          replicaCount:
+            _default: 2
           args:
             _default:
               - |

apps/workspaces/base/frontend.yaml

@@ -29,7 +29,7 @@ spec:
         enabled: true
         image:
           name:
-            _default: cr.yandex/crp3ccidau046kdj8g9q/workspaces-v2-frontend:contour_1b5d64e4
+            _default: cr.yandex/crp3ccidau046kdj8g9q/workspaces-v2-frontend:contour_2da2a00e
           pullPolicy:
             _default: IfNotPresent
         deployment:

apps/workspaces/ugok/frontend.yaml

@@ -36,7 +36,7 @@ spec:
 
         image:
           name:
-            _default: 10.4.10.187:80/library/workspaces-v2-frontend:contour_07373a45
+            _default: 10.4.10.187:80/library/workspaces-v2-frontend:contour_1b5d64e4
           pullPolicy:
             _default: IfNotPresent
 

clusters/stand/00-vault/helm-repositories.yaml

@@ -7,6 +7,8 @@ metadata:
 spec:
   type: oci
   interval: 10m0s
-  url: oci://cr.yandex/crp3ccidau046kdj8g9q/charts
+  url: ${CHART_REPO:=oci://cr.yandex/crp3ccidau046kdj8g9q/charts}
   secretRef:
-    name: yc-cr-auth
+    name: ${CHART_REPO_SECRET:=yc-cr-auth}
+  certSecretRef:
+    name: chart-repo-ca

clusters/stand/00-vault/kustomization.yaml

@@ -1,4 +1,5 @@
 apiVersion: kustomize.config.k8s.io/v1beta1
 kind: Kustomization
 resources:
+  - ./helm-repositories.yaml
   - ../../../infrastructure/vault/contour-template

clusters/stand/40-routing/kustomization.yaml

@@ -0,0 +1,4 @@
+apiVersion: kustomize.config.k8s.io/v1beta1
+kind: Kustomization
+resources:
+  - ../../../infrastructure/istio-config/contour-template

clusters/stand/kustomization.yaml

@@ -2,5 +2,4 @@ apiVersion: kustomize.config.k8s.io/v1beta1
 kind: Kustomization
 resources:
   - ./flux-system
-  - ./helm-repositories.yaml
   - ./layers.yaml

clusters/stand/layers.yaml

@@ -61,7 +61,7 @@ metadata:
   namespace: flux-system
 spec:
   interval: 10m0s
-  timeout: 20m0s
+  timeout: 35m0s
   path: ./clusters/stand/30-platform
   prune: true
   wait: true
@@ -72,3 +72,22 @@ spec:
     substituteFrom:
       - kind: ConfigMap
         name: contour-vars
+---
+apiVersion: kustomize.toolkit.fluxcd.io/v1
+kind: Kustomization
+metadata:
+  name: 40-routing
+  namespace: flux-system
+spec:
+  interval: 10m0s
+  timeout: 10m0s
+  path: ./clusters/stand/40-routing
+  prune: true
+  wait: true
+  sourceRef:
+    kind: GitRepository
+    name: flux-system
+  postBuild:
+    substituteFrom:
+      - kind: ConfigMap
+        name: contour-vars

infrastructure/camunda/contour-template/camunda.yaml

@@ -6,7 +6,9 @@ metadata:
 spec:
   dependsOn: []
   interval: 5m
-  timeout: 15m
+  timeout: 30m
+  waitStrategy:
+    name: legacy
   postRenderers:
     - kustomize:
         patches:

infrastructure/istio-config/contour-template/istio-config.yaml

@@ -0,0 +1,117 @@
+apiVersion: helm.toolkit.fluxcd.io/v2
+kind: HelmRelease
+metadata:
+  name: istio-config
+  namespace: default
+spec:
+  dependsOn: []
+  interval: 5m
+  timeout: 10m
+  values:
+    global:
+      env: contour
+    environments:
+      contour:
+        istio:
+          gateways:
+            platform:
+              name: platform-gateway
+              namespace: default
+              selector:
+                istio: ingressgateway
+              servers:
+              - hosts:
+                - ${HOST_LOGIN}
+                - ${HOST_CAMUNDA}
+                - ${HOST_CAMUNDA_IDENTITY}
+                - ${HOST_CAMUNDA_KEYCLOAK}
+                - ${HOST_CAMUNDA_OPTIMIZE}
+                - ${HOST_CAMUNDA_TASKLIST}
+                - ${HOST_RABBITMQ}
+                tls:
+                  credentialName: istio-ingress-tls
+          virtualServices:
+            zitadel:
+              name: zitadel-virt-service
+              namespace: default
+              hosts:
+              - ${HOST_LOGIN}
+              gateways:
+              - default/platform-gateway
+              routes:
+              - path:
+                  prefix: /
+                service: zitadel-idp-contour.zitadel.svc.cluster.local
+                port: 8080
+            camunda-operate:
+              name: camunda-operate-virt-service
+              namespace: default
+              hosts:
+              - ${HOST_CAMUNDA}
+              gateways:
+              - default/platform-gateway
+              routes:
+              - path:
+                  prefix: /
+                service: camunda-operate.camunda.svc.cluster.local
+                port: 80
+            camunda-identity:
+              name: camunda-identity-virt-service
+              namespace: default
+              hosts:
+              - ${HOST_CAMUNDA_IDENTITY}
+              gateways:
+              - default/platform-gateway
+              routes:
+              - path:
+                  prefix: /
+                service: camunda-identity.camunda.svc.cluster.local
+                port: 80
+            camunda-keycloak:
+              name: camunda-keycloak-virt-service
+              namespace: default
+              hosts:
+              - ${HOST_CAMUNDA_KEYCLOAK}
+              gateways:
+              - default/platform-gateway
+              routes:
+              - path:
+                  prefix: /
+                service: camunda-keycloak.camunda.svc.cluster.local
+                port: 80
+            camunda-optimize:
+              name: camunda-optimize-virt-service
+              namespace: default
+              hosts:
+              - ${HOST_CAMUNDA_OPTIMIZE}
+              gateways:
+              - default/platform-gateway
+              routes:
+              - path:
+                  prefix: /
+                service: camunda-optimize.camunda.svc.cluster.local
+                port: 80
+            camunda-tasklist:
+              name: camunda-tasklist-virt-service
+              namespace: default
+              hosts:
+              - ${HOST_CAMUNDA_TASKLIST}
+              gateways:
+              - default/platform-gateway
+              routes:
+              - path:
+                  prefix: /
+                service: camunda-tasklist.camunda.svc.cluster.local
+                port: 80
+            rabbitmq:
+              name: rabbitmq-virt-service
+              namespace: default
+              hosts:
+              - ${HOST_RABBITMQ}
+              gateways:
+              - default/platform-gateway
+              routes:
+              - path:
+                  prefix: /
+                service: rabbitmq.rabbitmq.svc.cluster.local
+                port: 15672

infrastructure/istio-config/contour-template/kustomization.yaml

@@ -0,0 +1,6 @@
+apiVersion: kustomize.config.k8s.io/v1beta1
+kind: Kustomization
+resources:
+  - ../base
+patches:
+  - path: istio-config.yaml

infrastructure/istio-pilot/uralkal/istio-pilot.yaml

@@ -13,3 +13,34 @@ spec:
     global:
       imagePullSecrets:
         - regcred
+    # Провайдер журнала доступа для security-audit (access-collector). Сам по себе ничего не включает:
+    # работает только для workload'ов, на которые ссылается Telemetry (infrastructure/security-audit/mesh).
+    meshConfig:
+      extensionProviders:
+        - name: audit-access
+          envoyOtelAls:
+            service: access-collector.security-audit.svc.cluster.local
+            port: 4317
+            logFormat:
+              labels:
+                sarex_kind: "mesh_access"
+                start_time: "%START_TIME%"
+                request_id: "%REQ(X-REQUEST-ID)%"
+                trace_id: "%TRACE_ID%"
+                authority: "%REQ(:AUTHORITY)%"
+                method: "%REQ(:METHOD)%"
+                path: "%REQ_WITHOUT_QUERY(:PATH)%"
+                protocol: "%PROTOCOL%"
+                response_code: "%RESPONSE_CODE%"
+                response_flags: "%RESPONSE_FLAGS%"
+                duration_ms: "%DURATION%"
+                bytes_in: "%BYTES_RECEIVED%"
+                bytes_out: "%BYTES_SENT%"
+                x_forwarded_for: "%REQ(X-FORWARDED-FOR)%"
+                downstream_ip: "%DOWNSTREAM_REMOTE_ADDRESS_WITHOUT_PORT%"
+                user_sub: "%REQ(X-SAREX-AUDIT-SUB)%"
+                user_org: "%REQ(X-SAREX-AUDIT-ORG)%"
+                user_agent: "%REQ(USER-AGENT)%"
+                route: "%ROUTE_NAME%"
+                upstream_cluster: "%UPSTREAM_CLUSTER%"
+                # Authorization, Cookie, Set-Cookie и query-строка не логируются (п.23)

infrastructure/kafka/contour-template/kafka.yaml

@@ -47,7 +47,7 @@ spec:
       automountServiceAccountToken: true
     listeners:
       client:
-        protocol: SASL_SSL
+        protocol: SASL_PLAINTEXT
         sslClientAuth: "none"
     provisioning:
       enabled: false

infrastructure/security-audit/README.md

@@ -0,0 +1,513 @@
+# security-audit
+
+Поток ИБ в Kafka, три источника:
+
+| Источник | Коллектор | Топик |
+|---|---|---|
+| журнал аудита kube-apiserver (мастера) | DaemonSet `audit-collector` | `security.k8s-audit` |
+| журнал доступа ingress-шлюза Istio | Deployment `access-collector`, pipeline `logs/access` | `security.mesh-access` |
+| события Zitadel (Actions v2) | Deployment `access-collector`, pipeline `logs/idp` | `security.idp-events` |
+
+Одно сообщение — одна запись в JSON (`encoding: raw`, без OTLP-обёртки), обогащённая полями `sarex_*`.
+Дальнейшие этапы (processor → MinIO/Parquet) — отдельными компонентами.
+
+С observability-коллектором (`infrastructure/opentelemetry-collector`) не связан: отдельный релиз, namespace и конфиг.
+
+| Каталог | Что | Namespace |
+|---|---|---|
+| `base/` | оба коллектора, NetworkPolicy, AuthorizationPolicy, Namespace | `security-audit` |
+| `base/idp-actions-bootstrap/` | Job настройки Target/Execution'ов в Zitadel, скрипт и список событий | `security-audit` |
+| `mesh/` | EnvoyFilter и Telemetry шлюза; без `namespace` в kustomization, селектор шлюза — заглушка | `istio-system` |
+| `uralkal/` | оверлей: `base` + `mesh`, селектор шлюза, Kafka, `dependsOn` | — |
+
+| Оверлей | Статус |
+|---|---|
+| `uralkal` | манифесты готовы, **в `clusters/uralkal` не подключён** |
+
+## Журнал аудита kube-apiserver
+
+DaemonSet `audit-collector-agent` на узлах `node-role.kubernetes.io/control-plane`. Он читает
+`/var/log/audit/kube-apiserver-audit*.log` (текущий и ротированные файлы), позиции хранит в `/var/lib/otelcol-audit`
+(hostPath), туда же складывает дисковую очередь отправки.
+
+Обработка (`transform/audit`):
+
+- **вырезание шума:** `metadata.managedFields` и аннотация `kubectl.kubernetes.io/last-applied-configuration`
+  в `requestObject` / `responseObject`;
+- **маскирование:** значения параметров `password|passwd|pwd|token|secret|api_key|api-key` в `requestURI`
+  (`token=abc` → `token=***`), сама команда `exec` не маскируется;
+- **классификация** — поля ниже. Правила применяются по порядку, последнее подходящее побеждает.
+
+| Поле | Значение | Условие |
+|---|---|---|
+| `sarex_contour` | имя контура | env `CONTOUR` из оверлея |
+| `sarex_dry_run` | `true` / `false` | `requestURI` содержит `dryRun=All` |
+| `sarex_action` | `read` | `verb` ∈ `get`, `list` |
+| | `mutate` | `verb` ∈ `create`, `update`, `patch`, `delete`, `deletecollection` |
+| | `status` | `objectRef.subresource == status` |
+| | `interactive` | `objectRef.subresource` ∈ `exec`, `attach`, `portforward` |
+| `sarex_outcome` | `applied` | код 2xx, не dry-run |
+| | `dry_run` | код 2xx, dry-run |
+| | `denied_authn` | 401 |
+| | `denied_authz` | 403 и `authorization.k8s.io/decision=forbid` |
+| | `denied_admission` | 4xx при `decision=allow`, кроме 404/409/422 |
+| | `invalid` | 422 |
+| | `conflict` | 409 |
+| | `not_found` | 404 |
+| | `error` | 5xx |
+| `sarex_actor_type` | `human` | по умолчанию |
+| | `serviceaccount` | `system:serviceaccount:*` |
+| | `controller` | `system:serviceaccount:kube-system:*`, `system:kube-*`, `system:apiserver` |
+| | `node` | `system:node:*` |
+| | `gitops` | `system:serviceaccount:flux-system:*` |
+
+`watch` не попадает ни в одну категорию `sarex_action`: поле не выставляется.
+
+Надёжность доставки: `required_acks: -1`, дисковая очередь (`sending_queue.storage`), бесконечные ретраи. При
+заполненной очереди срабатывает backpressure на `filelog`, чтение файла приостанавливается. Данные теряются,
+только если файл успеет уйти из ротации (10 × 100 МБ) раньше, чем Kafka вернётся.
+
+## Предусловия подключения в контуре
+
+1. **Аудит apiserver включён** (INFRA-3057): флаги `--audit-policy-file`, `--audit-log-path=/var/log/audit/kube-apiserver-audit.log`,
+   `--audit-log-maxsize=100`, `--audit-log-maxbackup=10`. Каталог `/var/log/audit` есть на всех мастерах.
+2. **Kafka:** топик и SCRAM-пользователь.
+   - Топик `security.k8s-audit`: 1 партиция, `retention.ms=259200000` (3 суток), `max.message.bytes=5242880`,
+     RF по контуру (в `uralkal` один controller → RF 1).
+   - Пользователь `security-audit` (SCRAM-SHA-512). ACL не нужны.
+
+   Заводится terraform'ом: `infra/terraform`, ветка `contour`, модуль `kafka-topics-incluster`, блок
+   `environments.<контур>` в `infrastructure.yaml`. Если нужно вручную — из пода контроллера, через внутренний
+   листенер (`INTERNAL`, 9094, `SASL_PLAINTEXT`/`PLAIN`, `inter_broker_user`):
+
+   ```bash
+   kubectl -n kafka exec -it kafka-kafka-contour-controller-0 -c kafka -- bash
+   ```
+
+   ```bash
+   cat > /tmp/admin.properties <<EOF
+   security.protocol=SASL_PLAINTEXT
+   sasl.mechanism=PLAIN
+   sasl.jaas.config=org.apache.kafka.common.security.plain.PlainLoginModule required username="inter_broker_user" password="$(cat /vault/secrets/kafka-inter-broker-password)";
+   EOF
+   B=localhost:9094
+
+   kafka-topics.sh --bootstrap-server $B --command-config /tmp/admin.properties --create \
+     --topic security.k8s-audit --partitions 1 --replication-factor 1 \
+     --config retention.ms=259200000 --config max.message.bytes=5242880
+
+   kafka-configs.sh --bootstrap-server $B --command-config /tmp/admin.properties --alter \
+     --entity-type users --entity-name security-audit \
+     --add-config 'SCRAM-SHA-512=[iterations=4096,password=<пароль>]'
+
+   rm /tmp/admin.properties
+   ```
+3. **Vault** (`secrets/` — KV v2):
+   - секрет `secrets/data/security-audit/kafka` с ключами `username`, `password`, `ca_crt`;
+     `ca_crt` — содержимое `ca.crt` из Secret `kafka/kafka-kafka-contour-tls` (CA генерирует чарт `kafka-contour`,
+     срок 365 дней; при перевыпуске обновить и здесь);
+   - политика `read` на `secrets/data/security-audit/kafka`;
+   - роль `security-audit` в `auth/kubernetes`: bound SA `audit-collector` **и** `access-collector`, namespace
+     `security-audit`, политика выше.
+
+   Заводится в `infra/terraform`, ветка `contour`, модуль `vault-platform-secrets` (роли `vault_kubernetes_auth_backend_role`,
+   KV-секреты).
+4. **Образ** `cr.yandex/crp3ccidau046kdj8g9q/opentelemetry-collector/opentelemetry-collector-contrib:0.121.0-amd64`
+   доступен в registry контура (тот же, что дефолт чарта `opentelemetry-collector-prod` 0.117.1), `regcred` есть в
+   namespace `security-audit`.
+
+## Подключение
+
+Отдельным MR после выполнения предусловий — добавить в `clusters/uralkal/kustomization.yaml`:
+
+```yaml
+  - ../../infrastructure/security-audit/uralkal
+```
+
+`dependsOn` в оверлее ждёт HelmRelease `kafka/kafka` и `vault/vault`.
+
+Порядок: сначала должен раскататься провайдер `audit-access` в istiod (`infrastructure/istio-pilot/uralkal/istio-pilot.yaml`,
+применяется сразу, как только попадёт в master: кластер его уже подключает). Telemetry из `mesh/` ссылается на этот провайдер по имени. Проверка:
+`kubectl -n istio-system get cm istio -o jsonpath='{.data.mesh}' | grep -A2 audit-access`.
+
+## Проверка после подключения
+
+- DaemonSet `security-audit/audit-collector-agent` только на мастерах, все поды `Ready`:
+  `kubectl -n security-audit get pods -o wide`.
+- В логах коллектора нет ошибок: `kubectl -n security-audit logs ds/audit-collector-agent -c opentelemetry-collector-prod`.
+- События в топике (из пода контроллера Kafka, с `admin.properties` выше):
+  `kafka-console-consumer.sh --bootstrap-server localhost:9094 --consumer.config /tmp/admin.properties --topic security.k8s-audit --max-messages 5`.
+- `kubectl create secret generic audit-probe --from-literal=k=v` → событие с `objectRef.resource=secrets` уровня
+  `Metadata`, без `requestObject`/`responseObject`.
+- Рестарт пода коллектора (`kubectl delete pod`) → нет дублей и пропусков: сверить `auditID` в топике с файлом журнала
+  на мастере за интервал рестарта.
+
+## Известное ограничение
+
+Значения env с паролями внутри `requestObject` / `responseObject` workload-ресурсов на уровне `RequestResponse`
+коллектор не маскирует: OTTL плохо работает с массивами (`spec.containers[].env[]`). Маскирование будет в processor'е.
+До его готовности не повышать уровень для workload-ресурсов выше `Request` в контурах, где пароли могут быть в env.
+
+## Журнал доступа шлюза
+
+Каждый внешний HTTP-запрос через ingress-шлюз (`istio-system`, `istio: ingressgateway`): кто, что, когда, результат,
+IP, `x-request-id`, `trace_id`. Поток ИБ отдельно от прикладных журналов (п.20); IP источника для событий приложений
+находится по `request_id` (п.15).
+
+```
+ingress-шлюз (Envoy)
+  └─ Telemetry gateway-audit-access ─► провайдер audit-access (envoyOtelAls, meshConfig istiod)
+       └─ OTLP gRPC, mTLS ─► access-collector.security-audit:4317 (2 реплики, sidecar Istio)
+            └─ transform/access ─► Kafka security.mesh-access ─► processor (infra/k8s-audit, отдельная задача)
+```
+
+### Поля записи
+
+| Поле | Источник Envoy | Примечание |
+|---|---|---|
+| `sarex_kind` | — | всегда `mesh_access` |
+| `start_time` | `%START_TIME%` | |
+| `request_id` | `%REQ(X-REQUEST-ID)%` | ключ связи с журналами приложений (п.15) |
+| `trace_id` | `%TRACE_ID%` | пусто, пока в mesh выключен трейсинг |
+| `authority`, `method`, `protocol` | `:authority`, `:method`, `%PROTOCOL%` | |
+| `path` | `%REQ_WITHOUT_QUERY(:PATH)%` | без query; маскирование — ниже |
+| `response_code`, `response_flags` | `%RESPONSE_CODE%`, `%RESPONSE_FLAGS%` | `0` — ответа не было |
+| `duration_ms`, `bytes_in`, `bytes_out` | `%DURATION%`, `%BYTES_RECEIVED%`, `%BYTES_SENT%` | |
+| `x_forwarded_for`, `downstream_ip` | `X-Forwarded-For`, `%DOWNSTREAM_REMOTE_ADDRESS_WITHOUT_PORT%` | за NodePort — см. открытые вопросы |
+| `user_sub`, `user_org` | `x-sarex-audit-sub`, `x-sarex-audit-org` | заполняет RequestAuthentication из JWT; **пока её нет — пусто** |
+| `user_agent`, `route`, `upstream_cluster` | `User-Agent`, `%ROUTE_NAME%`, `%UPSTREAM_CLUSTER%` | |
+| `sarex_contour` | env `CONTOUR` | |
+| `sarex_action` | по `method` | `read`: GET/HEAD/OPTIONS; `mutate`: POST/PUT/PATCH/DELETE |
+| `sarex_outcome` | по `response_code` | `applied` 2xx–3xx, `denied_authn` 401, `denied_authz` 403, `invalid` прочие 4xx (включая 404), `error` 5xx и `0` |
+| `sarex_actor_type` | по `user_sub` | `human`, если есть, иначе `anonymous` |
+
+**Не логируется (п.23):**
+- `Authorization`, `Cookie`, `Set-Cookie` — это сами учётные данные: журнал с ними позволяет войти от имени пользователя;
+- query-строка — в ней бывают токены публичных ссылок, `token=`, подписи S3 (`X-Amz-Signature`).
+
+Маскирование в пути:
+- сегмент после `token|secret|key|signature/` → `***`;
+- JWT-подобные строки → `***jwt***`.
+
+Защита от подмены: EnvoyFilter `strip-audit-headers` первым HTTP-фильтром удаляет входящие `x-sarex-audit-sub/org`.
+Без него клиент мог бы записать в журнал любого пользователя.
+
+### Пользователь в журнале: RequestAuthentication — не создана (блокер)
+
+`user_sub`/`user_org` должна заполнять `RequestAuthentication` на шлюзе (`outputClaimToHeaders`). Но она отклоняет
+**любой** запрос с JWT издателя, которого нет в `jwtRules` (`Jwt issuer is not configured`, 401), на всех хостах шлюза.
+А издатели в Уралкалии подтверждаются по репозиторию не все:
+
+| Издатель | Заголовок | `issuer` / JWKS | Статус |
+|---|---|---|---|
+| Zitadel | `Authorization: Bearer`, `Identity` | `https://login.sarex.local.uralkali.com` (`ExternalDomain` + `ExternalSecure: true` в `infrastructure/zitadel/uralkal`; `ExternalPort` не задан — проверить, что в `/.well-known/openid-configuration` нет `:8080`) | issuer — `TODO(verify)`; префикс заголовка `Identity` не подтверждён |
+| django (SimpleJWT, RS512) | `Authorization: Bearer` (режим `sarex`) | в коде `SIMPLE_JWT_ISSUER` по умолчанию `default_issuer` (`apps/django/base/django-configmap.yaml`), в `CONFIGURATION.md` — `django`; в `uralkal` не задан. Ключ — `secrets/data/vault/common/rsa_keys`, в репозитории нет | **не подтверждён** |
+| Camunda Keycloak | `Authorization: Bearer` на `camunda-*` | `https://camunda-keycloak.sarex.local.uralkali.com/auth/realms/camunda-platform` (`infrastructure/camunda/uralkal`), JWKS `…/protocol/openid-connect/certs` | подтверждён |
+| document-link | `Authorization: Bearer` (зашитый/сервисный JWT) | неизвестен | **не подтверждён** |
+
+Пока таблица не закрыта, журнал пишется без пользователя (`sarex_actor_type=anonymous`). Пользователя для события
+можно найти по `request_id` в журналах приложений.
+
+JWKS Zitadel — выбранный вариант, когда дойдёт до включения:
+- **inline `jwks` — нет:** Zitadel ротирует ключи подписи по умолчанию раз в часы (`KeyConfig.PrivateKeyLifetime` 6h),
+  inline-набор устареет за день, и шлюз начнёт отдавать 401 всем.
+- **`jwksUri` на внешний адрес, загрузка istiod — только если подтверждено:** istiod резолвит
+  `login.sarex.local.uralkali.com` и доверяет CA сертификата `uralkal-sarex-tls`. В istiod нет CA заказчика, и
+  отключать проверку (`JWKS_RESOLVER_INSECURE_SKIP_VERIFY`) нельзя.
+- **Рекомендуется:** `PILOT_JWT_ENABLE_REMOTE_JWKS=envoy` (env istiod) и `jwksUri: http://login.sarex.local.uralkali.com:8080/oauth/v2/keys`
+  плюс `ServiceEntry` хоста `login.sarex.local.uralkali.com:8080` (HTTP, `resolution: DNS`, endpoint
+  `zitadel-idp-contour.zitadel.svc.cluster.local`). Ключи забирает Envoy шлюза через кластер mesh, без внешнего DNS и CA.
+  `Host` остаётся внешним доменом инстанса, его Zitadel узнаёт. Прямой `http://zitadel-idp-contour.zitadel.svc:8080/...`
+  Zitadel отклонит: инстанс определяется по `Host`.
+
+Черновик (не подключён; включать после закрытия таблицы и согласования 401 с владельцами приложений):
+
+```yaml
+apiVersion: security.istio.io/v1
+kind: RequestAuthentication
+metadata: {name: audit-jwt, namespace: istio-system}
+spec:
+  selector: {matchLabels: {istio: ingressgateway}}
+  jwtRules:
+    - issuer: https://login.sarex.local.uralkali.com                 # TODO(verify)
+      jwksUri: http://login.sarex.local.uralkali.com:8080/oauth/v2/keys
+      forwardOriginalToken: true
+      fromHeaders:
+        - {name: Authorization, prefix: "Bearer "}
+        - {name: Identity, prefix: "Bearer "}                         # TODO(verify): префикс
+      outputClaimToHeaders:
+        - {header: x-sarex-audit-sub, claim: sub}
+        - {header: x-sarex-audit-org, claim: "urn:zitadel:iam:user:resourceowner:id"}   # TODO(verify): есть ли claim в access token
+    - issuer: https://camunda-keycloak.sarex.local.uralkali.com/auth/realms/camunda-platform
+      jwksUri: http://camunda-keycloak.camunda.svc.cluster.local/auth/realms/camunda-platform/protocol/openid-connect/certs   # TODO(verify)
+      forwardOriginalToken: true
+    # - issuer: <django SIMPLE_JWT_ISSUER>   # блокер: issuer и публичный ключ
+```
+
+### Предусловия подключения
+
+- Топик `security.mesh-access`: 3 партиции, `retention.ms=259200000`, `max.message.bytes=1048576`, RF по контуру —
+  тем же путём, что `security.k8s-audit` (terraform или команды выше). Пользователь — тот же `security-audit`, ACL не нужны.
+- Роль Vault `security-audit`: в bound SA добавлен `access-collector` (см. предусловия выше).
+- Провайдер `audit-access` раскатан в istiod (см. «Подключение»).
+
+### Sidecar и Vault
+
+- Namespace `security-audit` без `istio-injection`: sidecar получают только поды с меткой `sidecar.istio.io/inject=true`
+  (webhook `object.sidecar-injector.istio.io`). Это `access-collector`. У `audit-collector` метка `"false"`.
+  Метка `istio-injection: disabled` отключила бы инъекцию совсем, даже по метке пода.
+- `PeerAuthentication` в репозитории нет, поэтому режим PERMISSIVE. Шлюз шлёт в коллектор по auto-mTLS (оба в mesh),
+  коллектор в Kafka — тоже через mTLS (`kafka` в mesh), внутри остаётся `SASL_SSL`.
+- Vault Agent (`agent-init-first`, pre-populate) + istio-proxy: по паттерну контура (`apps/bi`, `apps/bim`, `apps/cde`…)
+  `traffic.sidecar.istio.io/excludeOutboundPorts: "8200"`. Init-агент ходит в Vault мимо iptables-перехвата,
+  даже если `istio-init` отработал раньше.
+- `holdApplicationUntilProxyStarts`: kafka exporter подключается к брокерам на старте и без готового proxy падает.
+- `istio-init` требует `NET_ADMIN`/`NET_RAW`: enforce `privileged` это разрешает, профиль `warn: baseline` даст
+  предупреждения при создании подов — ожидаемо.
+
+### Проверка после подключения
+
+- Провайдер и порядок фильтров на шлюзе:
+  ```bash
+  POD=$(kubectl -n istio-system get pod -l istio=ingressgateway -o jsonpath='{.items[0].metadata.name}')
+  istioctl -n istio-system proxy-config cluster $POD | grep access-collector
+  istioctl -n istio-system proxy-config listener $POD -o json \
+    | jq -r '.[].filterChains[].filters[] | select(.name=="envoy.filters.network.http_connection_manager")
+             | .typedConfig.httpFilters[].name' | uniq
+  ```
+  Первым в списке — `security-audit.strip-audit-headers`, раньше `envoy.filters.http.jwt_authn` (когда появится).
+  В выводе `listener` есть `envoy.access_loggers.open_telemetry`.
+- `curl -H 'x-sarex-audit-sub: spoof' https://sarex.local.uralkali.com/...` → в Kafka `user_sub` пустой.
+- Запрос с `?token=canary` → строки `canary` нет в топике.
+- После включения RequestAuthentication:
+  - запрос с валидным токеном → `user_sub` заполнен;
+  - с невалидным токеном Zitadel → 401 (так работает RequestAuthentication). **Согласовать с владельцами приложений до включения.**
+- `kubectl -n security-audit scale deploy/access-collector --replicas=0` → трафик шлюза не падает (ALS асинхронный).
+  Потери видны в статистике Envoy: `kubectl -n istio-system exec $POD -- pilot-agent request GET stats | grep access_logs`.
+  Вернуть 2 реплики.
+- Чтение топика: как для `security.k8s-audit`, `--topic security.mesh-access`.
+
+### Мониторинг
+
+- `otelcol_receiver_accepted_log_records{receiver="otlp"}` у `access-collector`: алерт, если 0 за 10 минут при живом
+  трафике шлюза (`istio_requests_total` на `ingressgateway`).
+- `otelcol_exporter_sent_log_records` / `otelcol_exporter_send_failed_log_records` (`exporter="kafka/access"`),
+  `otelcol_exporter_queue_size` против `otelcol_exporter_queue_capacity`, `otelcol_exporter_enqueue_failed_log_records`.
+- Метрики коллектора отдаются на `:8888` пода. Prometheus в Уралкалии по репозиторию не найден — сбор метрик отдельно.
+
+### Открытые вопросы
+
+- **IP клиента (п.15).** Шлюз — одна реплика на control-plane за Service `NodePort` (30080/30443) без
+  `externalTrafficPolicy`, т. е. `Cluster`. kube-proxy делает SNAT, и в `downstream_ip` попадает IP узла, а не клиента.
+  Нужно выяснить, есть ли перед NodePort балансировщик заказчика и передаёт ли он `X-Forwarded-For`. Если да —
+  `meshConfig.defaultConfig.gatewayTopology.numTrustedProxies` (или аннотация `proxy.istio.io/config` на шлюзе) по числу
+  прокси, иначе Envoy не доверяет XFF. Если балансировщика нет — `externalTrafficPolicy: Local` и DNS/LB только на
+  узел шлюза. Ничего из этого не меняли.
+- **Статика** (`*/static/*`, фронтенды) пишется в журнал. Исключать ли — решение ИБ (фильтр в `mesh/telemetry.yaml`).
+- **Запросы между сервисами** (sidecar'ы приложений) — отдельный Telemetry с фильтром, не в этой задаче.
+- **Очередь в памяти:** `queue_size: 50000` считается в запросах (батчах до 2000 записей), а не в записях. При долгой
+  недоступности Kafka упрётся в `memory_limiter`/лимит 512Mi раньше, чем в `queue_size`. Записи сверх этого теряются,
+  шлюз не блокируется.
+
+## События Zitadel
+
+Вход, неуспешный вход, блокировки, изменения пользователей, ролей и members (п.14–16 документа ИБ).
+
+```
+Zitadel (Actions v2: Execution с условием event → Target restAsync, JSON по HTTP)
+  └─ http://access-collector.security-audit.svc.cluster.local:8088/zitadel/events  (mTLS, sidecar у обоих)
+       └─ webhookevent/zitadel ─► transform/idp ─► Kafka security.idp-events ─► processor (infra/k8s-audit, idp/)
+```
+
+Target и Execution'ы заводит Job `idp-actions-bootstrap` (`base/idp-actions-bootstrap/`) через API Zitadel.
+Список событий — `files/events.txt`.
+
+### Почему без HMAC
+
+Zitadel подписывает запросы (`X-ZITADEL-Signature`, HMAC-SHA256 тела), но `webhookevent` подпись проверять не умеет.
+Вместо подписи источник подтверждается на транспортном уровне:
+- **mTLS Istio:** у Zitadel и коллектора есть sidecar, identity источника — SA `zitadel`;
+- **AuthorizationPolicy `access-collector`:** на 8088 только `POST /zitadel/events` от `cluster.local/ns/zitadel/sa/zitadel`,
+  на 4317 только из `istio-system`, остальное запрещено (ALLOW-политика закрывает всё, что не разрешено);
+- **NetworkPolicy:** 8088 только из namespace `zitadel` от подов `app.kubernetes.io/name=idp-contour,component=start`.
+
+**Условие:** Zitadel в mesh. Сейчас это так: ns `zitadel` с `istio-injection: enabled`, у Deployment метка
+`sidecar.istio.io/inject: "true"` (чарт `idp-contour` 4.12.13). Если Zitadel выведут из mesh, у его запросов не будет
+principal, и коллектор начнёт отвечать 403. Тогда либо вернуть sidecar, либо перейти на приёмник с проверкой HMAC
+(signingKey из `CreateTarget` — во Vault).
+
+Probe'ы kubelet AuthorizationPolicy не блокирует: при `rewriteAppHTTPProbers` (по умолчанию) sidecar переписывает
+HTTP-probe на pilot-agent `:15020`, а тот ходит в приложение напрямую, мимо Envoy и RBAC-фильтра. При подключении сбора
+метрик коллектора (`:8888`) нужно отдельное правило в политике.
+
+### Поля события
+
+Тело запроса Zitadel — `ContextInfoEvent` (`internal/repository/execution/queue.go`, v4.12.2), все поля `omitempty`.
+
+| Поле | Откуда | Примечание |
+|---|---|---|
+| `event_type` | Zitadel | например, `user.human.password.check.failed` |
+| `created_at` | Zitadel | RFC3339Nano |
+| `aggregateID`, `aggregateType` | Zitadel | объект события (пользователь, грант, организация…) |
+| `resourceOwner`, `instanceID` | Zitadel | организация и инстанс |
+| `userID` | Zitadel | кто выполнил действие; нет — системное событие |
+| `sequence`, `version` | Zitadel | |
+| `details.user_name` | `event_payload.userName` | только `user.human.added`, `user.human.selfregistered` |
+| `details.role_keys`, `details.project_id` | `event_payload.roleKeys`, `.projectId` | только `user.grant.*` |
+| `sarex_kind` | — | `idp_event` |
+| `sarex_contour` | env `CONTOUR` | |
+| `sarex_outcome` | по `event_type` | `denied_authn` для `*.check.failed`, иначе `applied` |
+| `sarex_actor_type` | по `userID` | `human`, без `userID` — `system` |
+
+**`event_payload` удаляется целиком (п.23).** В payload бывают хеш пароля (`user.human.password.changed`),
+секреты OTP, client secret, ПДн. Allowlist безопаснее denylist'а: новое поле в новой версии Zitadel не уйдёт в Kafka само.
+Нужные ИБ поля копируются в `details` явно.
+- `TODO(verify)`: allowlist стартовый. Уточнить по реальным событиям на стенде, какие ещё поля нужны processor'у.
+
+Тело, которое не разобралось как JSON, заменяется маркером `{"sarex_kind": "idp_event", "sarex_error": "unparsed"}`:
+сырой текст мог бы унести payload. В 4.12.2 `event_payload` — объект (`json.RawMessage`); вариант с base64-строкой тоже
+поддержан.
+
+### Job `idp-actions-bootstrap`
+
+- **Образ.** В registry контура нет образа с `curl` и `jq` вместе. init-контейнер из `contour/zitadel/kubectl:1.33.4`
+  (уже нужен setup-Job'у Zitadel) копирует `jq` 1.6 с библиотеками в emptyDir. Скрипт идёт в
+  `contour/kafka-nn/kafka:4.0.0-debian-12-r10` (`curl` 7.88). Оба на Debian 12. `TODO(verify)`: заменить на один
+  toolbox-образ.
+- **Инстанс Zitadel** выбирается заголовком `x-zitadel-instance-host` (+ `x-zitadel-public-host`, `X-Forwarded-Proto: https`).
+  Это `InstanceHostHeaders`/`PublicHostHeaders` из `defaults.yaml` v4.12.2. `Host` остаётся именем Service: при подмене
+  `Host` на внешний домен istio-proxy не нашёл бы маршрут и отправил бы запрос в passthrough, без mTLS.
+- **Mesh.** Job в mesh (`sidecar.istio.io/inject=true`, `holdApplicationUntilProxyStarts`). В конце скрипт вызывает
+  `POST 127.0.0.1:15020/quitquitquit`, istio-proxy завершается, под — `Completed`. STRICT mTLS у Zitadel сейчас нет, но
+  Job к нему готов.
+- **Vault:** роль `security-audit-bootstrap`, `secrets/data/security-audit/zitadel-bootstrap` → `pat` →
+  `/vault/secrets/zitadel-pat`; `excludeOutboundPorts: 8200` — паттерн контура.
+- **Скрипт** (`files/idp-actions-bootstrap.sh`, POSIX sh) идемпотентен:
+  1. ждёт `/debug/ready` (10 попыток × 15 с);
+  2. печатает все типы событий инстанса (`known: …`, `POST /admin/v1/events/types/_search`);
+  3. ищет Target `security-audit-idp-events` по имени и создаёт или обновляет его (`restAsync`, endpoint, `timeout: 10s`);
+  4. для каждого события — `PUT /v2/actions/executions` с условием `{"event": {"event": "<тип>"}}`. Чужие targets
+     Execution'а сохраняются, свой добавляется в конец;
+  5. неизвестное имя события — ошибка: остальные события обрабатываются, код выхода ≠ 0.
+
+  PAT не печатается (`set -x` нет, заголовки — в файле в tmpfs), signingKey из ответов не выводится.
+- **Перезапуск.** ConfigMap'ы скрипта и событий — из `configMapGenerator` (хеш в имени). Правка любого файла меняет
+  spec Job'а, и Flux пересоздаёт его (`kustomize.toolkit.fluxcd.io/force: enabled`). После `ttlSecondsAfterFinished` (сутки)
+  Job удаляется, и Flux создаёт его заново: раз в сутки идёт сверка, повторный запуск ничего не меняет.
+- **Порядок.** У Job нет `dependsOn`: он стартует вместе с HelmRelease'ами. Если Zitadel ещё не готов — до 10 попыток,
+  дальше `backoffLimit: 3`. Execution'ы ссылаются на Target по id, коллектор может подняться позже: до его готовности
+  события теряются (повторов нет, см. риски). Подключать модуль, когда Zitadel уже работает.
+
+### Предусловия подключения
+
+- Топик `security.idp-events`: 3 партиции, `retention.ms=259200000`, RF по контуру, тем же путём, что остальные
+  топики. Пользователь `security-audit`, ACL не нужны.
+- Сервисный пользователь Zitadel `security-audit-bootstrap` (machine user) с ролью `IAM_OWNER` на инстансе.
+  Нужны `action.target.read/write/delete`, `action.execution.read/write`, `events.read`. Его PAT — во Vault
+  `secrets/data/security-audit/zitadel-bootstrap`, ключ `pat`.
+- Роль Vault `security-audit-bootstrap` в `auth/kubernetes`: bound SA `idp-actions-bootstrap`, namespace `security-audit`,
+  политика `read` на `secrets/data/security-audit/zitadel-bootstrap`.
+- Feature flag не нужен: в v4.12.2 `actions` в `/v2/features/instance` удалён (reserved), Actions v2 включены всегда.
+
+Проверка API изнутри кластера (ожидается `"https://login.sarex.local.uralkali.com"`):
+
+```bash
+kubectl -n zitadel exec deploy/zitadel-idp-contour -c istio-proxy -- \
+  curl -s -H 'x-zitadel-instance-host: login.sarex.local.uralkali.com' -H 'X-Forwarded-Proto: https' \
+  http://zitadel-idp-contour.zitadel.svc.cluster.local:8080/.well-known/openid-configuration
+```
+
+### Проверка после подключения
+
+- `kubectl -n security-audit logs job/idp-actions-bootstrap -c bootstrap`: `Target …: создан`, по событиям
+  `создано`/`без изменений`, `ошибок=0`. Строки `known:` — сверка имён с инстансом.
+- Создать тестового пользователя → в `security.idp-events` есть `user.human.added` без `event_payload` и с
+  `details.user_name`.
+- Неверный пароль → `user.human.password.check.failed`, `sarex_outcome=denied_authn`.
+- Канарейка в пароле тестового пользователя → её нет в топике (`grep` по выводу `kafka-console-consumer.sh`).
+- `curl -X POST http://access-collector.security-audit:8088/zitadel/events -d '{}'` из пода в другом namespace → таймаут
+  (NetworkPolicy). Из пода с sidecar в `zitadel`, но не от SA `zitadel` → `403 RBAC: access denied`.
+
+### Риски
+
+- **Повторов доставки нет.** Для `restAsync` Zitadel 4.12.2 только пишет ошибку в лог (`internal/execution`): коллектор
+  или Kafka недоступны → событие потеряно. Что смягчает:
+  - 2 реплики, PDB, очередь отправки;
+  - 200 приходит после приёма в `batch`, дальше доставка в Kafka с ретраями.
+
+  Алерты:
+  - `otelcol_exporter_send_failed_log_records{exporter="kafka/idp"}`;
+  - нет `otelcol_receiver_accepted_log_records{receiver="webhookevent/zitadel"}` в рабочее время.
+- **Полный источник — Events API Zitadel** (`POST /admin/v1/events/_search`). Суточную сверку количества по типам можно
+  добавить позже.
+- **Размер тела.** `webhookevent` 0.121 читает тело одним `bufio.Scanner` без явного буфера: событие больше ~64 КиБ,
+  вероятно, отбрасывается. Ответ при этом 200. `TODO(verify)` на стенде; события пользователей обычно в разы меньше.
+- В 0.121 у `webhookevent` нет `header_attribute_regex`, есть только `required_header`: заголовки в запись не попадают.
+
+### Откат
+
+Снять Target со всех Execution'ов из списка и удалить его — скрипт с `--remove`:
+
+```bash
+kubectl -n security-audit get job idp-actions-bootstrap -o json \
+  | jq 'del(.metadata.uid, .metadata.resourceVersion, .metadata.creationTimestamp, .metadata.labels,
+            .metadata.annotations, .metadata.ownerReferences, .spec.selector, .status)
+        | .spec.template.metadata.labels |= with_entries(select(.key | test("controller-uid|job-name") | not))
+        | .metadata.name = "idp-actions-remove" | .spec.template.spec.containers[0].args = ["--remove"]' \
+  | kubectl create -f -
+```
+
+Пока модуль подключён, Flux вернёт Execution'ы при следующем пересоздании Job'а. Для постоянного отключения убрать
+`idp-actions-bootstrap` из `base/kustomization.yaml` или модуль из кластера.
+
+## Проверить перед подключением
+
+Сверено по репозиторию и чартам 01.11.2026, доступа к кластеру не было.
+
+| Что | Результат | Как проверено |
+|---|---|---|
+| Образ и `command.name` | `.../opentelemetry-collector/opentelemetry-collector-contrib:0.121.0-amd64`, `otelcol-contrib` | дефолт `values.yaml` чарта `opentelemetry-collector-prod` 0.117.1 (appVersion 0.120.0, тег образа 0.121.0); `otelcol-contrib components` в образе: filelog, transform, kafka, file_storage, health_check, memory_limiter, batch есть |
+| Синтаксис kafka exporter | для 0.121.0 корректен (`topic`/`encoding` наверху, `auth.tls`) | `otelcol-contrib validate` в том же образе — OK |
+| Kafka Service и порт | `kafka-kafka-contour.kafka.svc.cluster.local:9092`, `SASL_SSL` (**не** `kafka.kafka...`) | `helm template` чарта `kafka-contour` 0.1.15 с values `uralkal`; тот же адрес у `apps/*/uralkal` |
+| CA Kafka | Secret `kafka/kafka-kafka-contour-tls`, ключ `ca.crt` (helm `genCA`, 365 дней) | шаблон `tls-secret.yaml` чарта; `apps/issues/uralkal` монтирует его же |
+| Kafka 4.0.0 и `protocol_version: 2.8.0` | совместимо (Kafka 4 требует ≥ 2.1) | `appVersion` чарта `kafka-contour` |
+| Vault | HelmRelease `vault/vault`; injector ходит на `http://vault-vault-contour.vault.svc:8200` | `infrastructure/vault/uralkal`, `helm template` `vault-contour` 0.2.3 |
+| Узлы мастеров | метка и taint `node-role.kubernetes.io/control-plane` | так же сажается `istio-gateway/uralkal` |
+| Рендер чарта | нет `hostPort`, Service, ClusterRole; nodeSelector/tolerations/securityContext как заданы | `helm template` 0.117.1 с values из собранного HelmRelease |
+| Логика `transform` | 5 тестовых событий классифицированы верно, `token=***`, `managedFields` вырезаны | запуск коллектора локально в том же образе с `file`-экспортёром вместо kafka |
+| **Журнал доступа шлюза** (02.11.2026) | | |
+| Шлюз | HelmRelease `istio-system/ingressgateway`, метка `istio: ingressgateway`, 1 реплика на control-plane, `NodePort` 30080/30443, `externalTrafficPolicy` не задан (`Cluster`) | `helm template` `istio-gateway-contour` 1.24.0 с values `uralkal` |
+| istiod | `istiod-contour` 1.24.0, ревизий нет; кроме `extensionProviders` mesh config не изменился | `helm template` до и после правки, diff только в ConfigMap `istio` |
+| Инъекция sidecar | ns `istio-injection=enabled` или ns без метки + метка пода `sidecar.istio.io/inject=true`; `disabled` блокирует оба | селекторы MutatingWebhookConfiguration из рендера `istiod-contour` |
+| mTLS | `PeerAuthentication` в репозитории нет → PERMISSIVE | поиск по `infrastructure/`, `clusters/uralkal`, чарту `istio-config-contour` |
+| Vault + sidecar | `excludeOutboundPorts: "8200"` рядом с `agent-init-first` | `apps/bi`, `apps/bim`, `apps/cde/base` |
+| Образ access-collector | тот же; `otlp` receiver, `transform`, `kafka` exporter есть | `otelcol-contrib validate` — OK |
+| Логика `transform/access` | 7 записей в формате Envoy ALS: `-` → пусто, `token/***`, `***jwt***`, классы верные | локальный коллектор, OTLP/HTTP → `file`-экспортёр |
+| Схемы Istio | EnvoyFilter (`v1alpha3`) и Telemetry (`v1`) проходят CRD-схемы `istio-base-contour` 1.24.0 | свой проверщик по `openAPIV3Schema`; `istioctl`/`kubeconform` на машине нет. Конфиг Lua (`patch.value`) схемой не проверяется |
+| **События Zitadel** (02.11.2026) | | |
+| Zitadel в mesh | ns `zitadel` `istio-injection: enabled`, у Deployment `sidecar.istio.io/inject: "true"`, SA `zitadel`, метки `app.kubernetes.io/name=idp-contour`, `component=start`; trust domain `cluster.local` | `helm template` `idp-contour` 4.12.13 с values `uralkal`, mesh config istiod |
+| Версия Zitadel | образ `contour/zitadel/zitadel:4.12.2` | `values.yaml` чарта |
+| Actions v2 API | `POST /v2/actions/targets`, `POST /v2/actions/targets/{id}` (update), `POST …/targets/search` (`targetNameFilter`), `PUT /v2/actions/executions` (`targets` — список id), `POST …/executions/search` (`inConditionsFilter`); условие `event.event`/`event.group`/`event.all`; feature flag не нужен | proto `zitadel/action/v2`, `feature/v2` тега v4.12.2 |
+| Формат события | `ContextInfoEvent`, `event_payload` — `json.RawMessage`; повторов для async нет | `internal/repository/execution/queue.go`, `internal/execution/*.go` v4.12.2 |
+| Имена событий | все 58 из `events.txt` есть в `internal/repository/{user,usergrant,org,project,instance,member}` v4.12.2; агрегата `group` нет | исходники; окончательно — строки `known:` в логе Job'а |
+| `webhookevent` 0.121 | есть в образе; 200 после `ConsumeLogs` (с `batch` — после приёма в батч), 500 при ошибке; одна запись на запрос; `required_header` есть, `header_attribute_regex` нет | исходники receiver v0.121.0; локальный прогон |
+| OTTL | `ParseJSON`, `Decode(…, "base64")`, `IsString`, `IsMatch`, `IsMap`, литерал map, `set` во вложенный отсутствующий map — работают | `validate` и прогон 6 событий: канарейки (хеш, base64, не-JSON) не дошли |
+| Образ Job | `curl` + `jq` вместе нет; `kubectl:1.33.4` (jq 1.6) + `kafka:4.0.0-debian-12-r10` (curl 7.88) | `docker run` образов из registry контура |
+| Скрипт | `sh -n` dash/bash --posix/busybox — OK; mock: создание, повтор без изменений, объединение с чужим target, обновление endpoint, `--remove`, API недоступен, 401; утечек PAT/signingKey нет | mock Zitadel на Python, запуск в образе kafka с `--read-only`, uid 1001. shellcheck на машине нет |
+
+Остаётся открытым:
+
+- `TODO(verify)` **nodelocaldns** (`169.254.25.10`) в NetworkPolicy: в репозитории не подтверждается. При дефолте kubespray
+  включён, если нет — правило безвредно.
+- **RequestAuthentication** не создана: не подтверждены издатели django и document-link, `issuer` Zitadel (`TODO(verify)`) —
+  см. «Пользователь в журнале». Пока `user_sub` пустой.
+- **IP клиента за NodePort** — см. «Открытые вопросы» журнала доступа.
+- `set(body, attributes)` + `encoding: raw` даёт JSON-объект (проверено локально через `file`-экспортёр, raw-маршалер
+  сериализует map в JSON) — подтвердить на стенде чтением топика. Там же проверить, что Envoy шлёт labels строками
+  (сравнения `response_code == "401"`).
+- `TODO(verify)` **API Zitadel изнутри кластера** с `x-zitadel-instance-host` (команда в «События Zitadel»): по
+  исходникам должно работать, запрос не выполнялся.
+- `TODO(verify)` **allowlist полей** `details` по реальным событиям; **лимит ~64 КиБ** тела у `webhookevent`.
+- `TODO(verify)` **toolbox-образ** для Job вместо пары kubectl + kafka.
+- Некритичные предупреждения 0.121.0: `service::telemetry::metrics::address` устарел (так же во всех коллекторах репо);
+  OTTL-пути без префикса `log.` (контекст выводится автоматически).

infrastructure/security-audit/base/authorizationpolicy-access-collector.yaml

@@ -0,0 +1,27 @@
+# Транспортная аутентификация вместо HMAC-подписи Zitadel: mTLS Istio + проверка identity источника.
+# Как только к workload применяется хотя бы одна ALLOW-политика, весь остальной трафик к нему запрещён.
+# - Probe'ы kubelet не блокируются: sidecar переписывает их на pilot-agent (:15020), а тот обращается
+#   к приложению напрямую, мимо Envoy и его RBAC-фильтра.
+# - При подключении сбора метрик коллектора (:8888) добавить отдельное правило для источника сбора.
+# Условие: Zitadel в mesh (ns zitadel istio-injection=enabled, под с sidecar.istio.io/inject=true), иначе
+# у его запросов нет principal и правило 1 их отклонит.
+apiVersion: security.istio.io/v1
+kind: AuthorizationPolicy
+metadata:
+  name: access-collector
+spec:
+  selector:
+    matchLabels:
+      security-audit/collector: access   # podLabels HelmRelease access-collector
+  action: ALLOW
+  rules:
+    - from:
+        - source:
+            principals: ["cluster.local/ns/zitadel/sa/zitadel"]   # SA Deployment zitadel-idp-contour
+      to:
+        - operation: {ports: ["8088"], methods: ["POST"], paths: ["/zitadel/events"]}
+    - from:
+        - source:
+            namespaces: ["istio-system"]
+      to:
+        - operation: {ports: ["4317"]}

infrastructure/security-audit/base/helmrelease-access-collector.yaml

@@ -0,0 +1,244 @@
+# Журнал доступа ingress-шлюза Istio: envoyOtelAls (провайдер audit-access в meshConfig istiod) → OTLP gRPC → Kafka.
+apiVersion: helm.toolkit.fluxcd.io/v2
+kind: HelmRelease
+metadata:
+  name: access-collector
+  namespace: security-audit
+spec:
+  interval: 10m
+  timeout: 10m
+  chart:
+    spec:
+      chart: opentelemetry-collector-prod
+      version: "0.117.1"
+      sourceRef:
+        kind: HelmRepository
+        name: yc-oci-charts
+        namespace: flux-system
+      interval: 10m
+  install:
+    remediation:
+      retries: 3
+  upgrade:
+    remediation:
+      retries: 3
+  values:
+    mode: deployment
+    replicaCount: 2
+    fullnameOverride: access-collector
+
+    # Тот же образ, что у audit-collector: otlp receiver, transform, kafka exporter есть в сборке.
+    image:
+      repository: cr.yandex/crp3ccidau046kdj8g9q/opentelemetry-collector/opentelemetry-collector-contrib
+      tag: "0.121.0-amd64"
+    command:
+      name: otelcol-contrib
+    imagePullSecrets:
+      - name: regcred
+
+    podDisruptionBudget:
+      enabled: true
+      minAvailable: 1
+    # Мягкая: при одном доступном узле вторая реплика всё равно встанет.
+    affinity:
+      podAntiAffinity:
+        preferredDuringSchedulingIgnoredDuringExecution:
+          - weight: 100
+            podAffinityTerm:
+              topologyKey: kubernetes.io/hostname
+              labelSelector:
+                matchLabels:
+                  security-audit/collector: access
+
+    clusterRole:
+      create: false
+    serviceAccount:
+      create: true
+      name: access-collector       # bound SA роли Vault security-audit (вместе с audit-collector)
+    presets:
+      logsCollection: {enabled: false}
+      hostMetrics: {enabled: false}
+      kubernetesAttributes: {enabled: false}
+      kubeletMetrics: {enabled: false}
+      kubernetesEvents: {enabled: false}
+      clusterMetrics: {enabled: false}
+
+    ports:
+      otlp:
+        enabled: true
+        containerPort: 4317
+        servicePort: 4317
+        protocol: TCP
+        appProtocol: grpc          # Istio выбирает протокол по appProtocol
+      # События Zitadel Actions v2 (Target restAsync) — обычный JSON по HTTP, приёмник webhookevent.
+      zitadel-events:
+        enabled: true
+        containerPort: 8088
+        servicePort: 8088
+        protocol: TCP
+        appProtocol: http
+      otlp-http: {enabled: false}
+      jaeger-compact: {enabled: false}
+      jaeger-thrift: {enabled: false}
+      jaeger-grpc: {enabled: false}
+      zipkin: {enabled: false}
+      metrics: {enabled: false}
+    service:
+      enabled: true
+
+    podSecurityContext:
+      runAsNonRoot: true
+      runAsUser: 10001
+      runAsGroup: 10001
+      seccompProfile: {type: RuntimeDefault}
+    securityContext:
+      runAsNonRoot: true
+      runAsUser: 10001
+      readOnlyRootFilesystem: true
+      allowPrivilegeEscalation: false
+      privileged: false
+      capabilities:
+        drop: [ALL]
+
+    resources:
+      requests: {cpu: 100m, memory: 128Mi}
+      limits: {cpu: 1000m, memory: 512Mi}
+
+    podLabels:
+      security-audit/collector: access   # селектор NetworkPolicy и anti-affinity
+      sidecar.istio.io/inject: "true"    # mTLS внутри mesh (п.30); namespace без istio-injection
+    podAnnotations:
+      sidecar.istio.io/inject: "true"
+      # Kafka exporter подключается к брокерам на старте: без готового istio-proxy коллектор упадёт.
+      proxy.istio.io/config: '{"holdApplicationUntilProxyStarts": true}'
+      # Паттерн контура для Vault + sidecar (apps/*/base): трафик агента к Vault мимо istio-proxy.
+      traffic.sidecar.istio.io/excludeOutboundPorts: "8200"
+      vault.hashicorp.com/agent-inject: "true"
+      vault.hashicorp.com/agent-init-first: "true"
+      vault.hashicorp.com/agent-pre-populate-only: "true"
+      vault.hashicorp.com/agent-requests-cpu: "25m"
+      vault.hashicorp.com/agent-limits-cpu: "100m"
+      vault.hashicorp.com/auth-path: auth/kubernetes
+      vault.hashicorp.com/role: security-audit
+      # Многострочные шаблоны — см. helmrelease-collector.yaml (toYaml | tpl в чарте).
+      vault.hashicorp.com/agent-inject-secret-kafka-username: secrets/data/security-audit/kafka
+      vault.hashicorp.com/agent-inject-template-kafka-username: |-
+        {{ "{{- with secret \"secrets/data/security-audit/kafka\" -}}" }}
+        {{ "{{ .Data.data.username }}" }}
+        {{ "{{- end -}}" }}
+      vault.hashicorp.com/agent-inject-secret-kafka-password: secrets/data/security-audit/kafka
+      vault.hashicorp.com/agent-inject-template-kafka-password: |-
+        {{ "{{- with secret \"secrets/data/security-audit/kafka\" -}}" }}
+        {{ "{{ .Data.data.password }}" }}
+        {{ "{{- end -}}" }}
+      vault.hashicorp.com/agent-inject-secret-kafka-ca.crt: secrets/data/security-audit/kafka
+      vault.hashicorp.com/agent-inject-template-kafka-ca.crt: |-
+        {{ "{{- with secret \"secrets/data/security-audit/kafka\" -}}" }}
+        {{ "{{ .Data.data.ca_crt }}" }}
+        {{ "{{- end -}}" }}
+
+    # Контур-специфичное (CONTOUR, KAFKA_BROKERS) задаётся в оверлее через extraEnvs.
+    alternateConfig:
+      extensions:
+        health_check: {endpoint: "${env:MY_POD_IP}:13133"}
+      receivers:
+        otlp:
+          protocols:
+            grpc:
+              endpoint: "${env:MY_POD_IP}:4317"
+              max_recv_msg_size_mib: 16
+        # Подпись HMAC (X-ZITADEL-Signature) не проверяется: доступ ограничен mTLS + AuthorizationPolicy
+        # (только SA zitadel) + NetworkPolicy. Отвечает 200 после ConsumeLogs, т. е. после приёма в batch.
+        webhookevent/zitadel:
+          endpoint: "${env:MY_POD_IP}:8088"
+          path: /zitadel/events
+          health_path: /zitadel/health
+      processors:
+        memory_limiter: {check_interval: 1s, limit_mib: 400, spike_limit_mib: 100}
+        transform/access:
+          error_mode: ignore
+          log_statements:
+            - context: log
+              statements:
+                # labels из envoyOtelAls приходят атрибутами — делаем из них тело (в Kafka уходит body как JSON)
+                - set(body, attributes)
+                - set(body["sarex_contour"], "${env:CONTOUR}")
+                # Envoy пишет "-" для пустых значений
+                - set(body["user_sub"], "") where body["user_sub"] == "-"
+                - set(body["user_org"], "") where body["user_org"] == "-"
+                - set(body["trace_id"], "") where body["trace_id"] == "-"
+                # маскирование: токены в самом пути (публичные ссылки и т. п.)
+                - replace_pattern(body["path"], "(?i)(token|secret|key|signature)/[^/]+", "$$1/***")
+                - replace_pattern(body["path"], "[A-Za-z0-9_-]{20,}\\.[A-Za-z0-9_-]{20,}\\.[A-Za-z0-9_-]{10,}", "***jwt***")
+                # классификация
+                - set(body["sarex_action"], "read") where body["method"] == "GET" or body["method"] == "HEAD" or body["method"] == "OPTIONS"
+                - set(body["sarex_action"], "mutate") where body["method"] == "POST" or body["method"] == "PUT" or body["method"] == "PATCH" or body["method"] == "DELETE"
+                - set(body["sarex_outcome"], "applied") where Int(body["response_code"]) >= 200 and Int(body["response_code"]) < 400
+                - set(body["sarex_outcome"], "denied_authn") where body["response_code"] == "401"
+                - set(body["sarex_outcome"], "denied_authz") where body["response_code"] == "403"
+                - set(body["sarex_outcome"], "invalid") where Int(body["response_code"]) >= 400 and Int(body["response_code"]) < 500 and body["response_code"] != "401" and body["response_code"] != "403"
+                - set(body["sarex_outcome"], "error") where Int(body["response_code"]) >= 500 or body["response_code"] == "0"
+                - set(body["sarex_actor_type"], "anonymous")
+                - set(body["sarex_actor_type"], "human") where body["user_sub"] != ""
+        transform/idp:
+          error_mode: ignore
+          log_statements:
+            - context: log
+              statements:
+                - set(body, ParseJSON(body))
+                # Не JSON — тело целиком заменяется маркером: сырой текст мог бы унести event_payload в Kafka (п.23).
+                - 'set(body, {"sarex_kind": "idp_event", "sarex_error": "unparsed"}) where not IsMap(body)'
+                # В 4.12.2 event_payload — json.RawMessage (объект); base64-строку тоже поддерживаем
+                - set(body["event_payload"], ParseJSON(Decode(body["event_payload"], "base64"))) where IsString(body["event_payload"])
+                # allowlist (п.23): нужные ИБ поля копируются явно, payload удаляется ЦЕЛИКОМ
+                # (в событиях бывают хеши паролей, OTP-секреты, client secret, ПДн)
+                # TODO(verify): список полей по типам событий уточнить по реальным событиям на стенде
+                - set(body["details"]["user_name"], body["event_payload"]["userName"]) where IsMatch(body["event_type"], "^user\\.human\\.(added|selfregistered)$")
+                - set(body["details"]["role_keys"], body["event_payload"]["roleKeys"]) where IsMatch(body["event_type"], "^user\\.grant\\.")
+                - set(body["details"]["project_id"], body["event_payload"]["projectId"]) where IsMatch(body["event_type"], "^user\\.grant\\.")
+                - delete_key(body, "event_payload")
+                # обогащение и классификация
+                - set(body["sarex_kind"], "idp_event")
+                - set(body["sarex_contour"], "${env:CONTOUR}")
+                - set(body["sarex_outcome"], "applied")
+                - set(body["sarex_outcome"], "denied_authn") where IsMatch(body["event_type"], "check\\.failed$")
+                - set(body["sarex_actor_type"], "human")
+                - set(body["sarex_actor_type"], "system") where body["userID"] == "" or body["userID"] == nil
+        batch: {send_batch_size: 1000, send_batch_max_size: 2000, timeout: 2s}
+      exporters:
+        # Общие поля Kafka — YAML-якоря (&kafka_*), kafka/idp ссылается на них (*kafka_*).
+        kafka/access:
+          brokers: &kafka_brokers ["${env:KAFKA_BROKERS}"]
+          protocol_version: &kafka_protocol_version 2.8.0
+          topic: security.mesh-access
+          encoding: raw                       # в сообщение — только body (JSON записи), без OTLP-обёртки
+          auth: &kafka_auth
+            sasl: {mechanism: SCRAM-SHA-512, username: "${file:/vault/secrets/kafka-username}", password: "${file:/vault/secrets/kafka-password}"}
+            tls: {insecure: false, ca_file: /vault/secrets/kafka-ca.crt}
+          producer: &kafka_producer {required_acks: -1, compression: zstd, max_message_bytes: 1048576}
+          # Очередь в памяти (диска у Deployment нет): при падении пода неотправленные записи теряются.
+          sending_queue: &kafka_sending_queue {enabled: true, queue_size: 50000, num_consumers: 4}
+          retry_on_failure: &kafka_retry {enabled: true, initial_interval: 5s, max_interval: 60s, max_elapsed_time: 0}
+        kafka/idp:
+          brokers: *kafka_brokers
+          protocol_version: *kafka_protocol_version
+          topic: security.idp-events
+          encoding: raw
+          auth: *kafka_auth
+          producer: *kafka_producer
+          sending_queue: *kafka_sending_queue   # своя очередь у каждого экспортёра, общие только настройки
+          retry_on_failure: *kafka_retry
+      service:
+        extensions: [health_check]
+        pipelines:
+          logs/access:
+            receivers: [otlp]
+            processors: [memory_limiter, transform/access, batch]
+            exporters: [kafka/access]
+          logs/idp:
+            receivers: [webhookevent/zitadel]
+            processors: [memory_limiter, transform/idp, batch]
+            exporters: [kafka/idp]
+        telemetry:
+          logs: {level: info}
+          metrics: {address: "${env:MY_POD_IP}:8888"}

infrastructure/security-audit/base/helmrelease-collector.yaml

@@ -0,0 +1,245 @@
+apiVersion: helm.toolkit.fluxcd.io/v2
+kind: HelmRelease
+metadata:
+  name: audit-collector
+  namespace: security-audit
+spec:
+  interval: 10m
+  timeout: 10m
+  chart:
+    spec:
+      chart: opentelemetry-collector-prod
+      version: "0.117.1"
+      sourceRef:
+        kind: HelmRepository
+        name: yc-oci-charts
+        namespace: flux-system
+      interval: 10m
+  install:
+    remediation:
+      retries: 3
+  upgrade:
+    remediation:
+      retries: 3
+  values:
+    mode: daemonset
+    fullnameOverride: audit-collector
+
+    # Дефолт чарта 0.117.1 (appVersion 0.120.0), задан явно: contrib-сборка с filelog, transform,
+    # kafka exporter, file_storage, health_check, memory_limiter. Зеркало в registry контура — см. README.
+    image:
+      repository: cr.yandex/crp3ccidau046kdj8g9q/opentelemetry-collector/opentelemetry-collector-contrib
+      tag: "0.121.0-amd64"
+    command:
+      name: otelcol-contrib
+    imagePullSecrets:
+      - name: regcred
+
+    # Только мастера: журнал аудита есть только там.
+    nodeSelector:
+      node-role.kubernetes.io/control-plane: ""
+    tolerations:
+      - key: node-role.kubernetes.io/control-plane
+        operator: Exists
+        effect: NoSchedule
+    rollout:
+      rollingUpdate:
+        maxUnavailable: 1
+
+    # Доступ к Kubernetes API коллектору не нужен.
+    clusterRole:
+      create: false
+    serviceAccount:
+      create: true
+      name: audit-collector        # = роль Vault security-audit, bound SA
+    presets:
+      logsCollection: {enabled: false}
+      hostMetrics: {enabled: false}
+      kubernetesAttributes: {enabled: false}
+      kubeletMetrics: {enabled: false}
+      kubernetesEvents: {enabled: false}
+      clusterMetrics: {enabled: false}
+
+    # В daemonset-режиме чарт вешает hostPort на OTLP/Jaeger/Zipkin: приёмники не нужны,
+    # а hostPort конфликтует с другими DaemonSet-коллекторами на тех же узлах.
+    ports:
+      otlp: {enabled: false}
+      otlp-http: {enabled: false}
+      jaeger-compact: {enabled: false}
+      jaeger-thrift: {enabled: false}
+      jaeger-grpc: {enabled: false}
+      zipkin: {enabled: false}
+      metrics: {enabled: false}
+    service:
+      enabled: false
+
+    # Журнал аудита — 0600 root:root. Root нужен как владелец файла, capabilities не нужны.
+    podSecurityContext:
+      runAsUser: 0
+      runAsGroup: 0
+      seccompProfile: {type: RuntimeDefault}
+    securityContext:
+      runAsUser: 0
+      runAsNonRoot: false
+      readOnlyRootFilesystem: true
+      allowPrivilegeEscalation: false
+      privileged: false
+      capabilities:
+        drop: [ALL]
+
+    resources:
+      requests: {cpu: 50m, memory: 128Mi}
+      limits: {cpu: 500m, memory: 512Mi}
+
+    extraVolumes:
+      - name: audit-log
+        hostPath: {path: /var/log/audit, type: DirectoryOrCreate}
+      - name: otelcol-storage
+        hostPath: {path: /var/lib/otelcol-audit, type: DirectoryOrCreate}
+    extraVolumeMounts:
+      - {name: audit-log, mountPath: /var/log/audit, readOnly: true}
+      - {name: otelcol-storage, mountPath: /var/lib/otelcol-audit}
+
+    # Метка исключает под из webhook'а инъекции Istio ещё до мутации (namespace без istio-injection).
+    podLabels:
+      sidecar.istio.io/inject: "false"
+    podAnnotations:
+      sidecar.istio.io/inject: "false"
+      vault.hashicorp.com/agent-inject: "true"
+      vault.hashicorp.com/agent-init-first: "true"
+      vault.hashicorp.com/agent-pre-populate-only: "true"
+      vault.hashicorp.com/agent-requests-cpu: "25m"
+      vault.hashicorp.com/agent-limits-cpu: "100m"
+      vault.hashicorp.com/auth-path: auth/kubernetes
+      vault.hashicorp.com/role: security-audit
+      # Чарт рендерит podAnnotations через toYaml | tpl: однострочный шаблон toYaml переносит,
+      # и литерал {{ "..." }} рвётся. Поэтому по строке на действие (block scalar не переносится).
+      vault.hashicorp.com/agent-inject-secret-kafka-username: secrets/data/security-audit/kafka
+      vault.hashicorp.com/agent-inject-template-kafka-username: |-
+        {{ "{{- with secret \"secrets/data/security-audit/kafka\" -}}" }}
+        {{ "{{ .Data.data.username }}" }}
+        {{ "{{- end -}}" }}
+      vault.hashicorp.com/agent-inject-secret-kafka-password: secrets/data/security-audit/kafka
+      vault.hashicorp.com/agent-inject-template-kafka-password: |-
+        {{ "{{- with secret \"secrets/data/security-audit/kafka\" -}}" }}
+        {{ "{{ .Data.data.password }}" }}
+        {{ "{{- end -}}" }}
+      vault.hashicorp.com/agent-inject-secret-kafka-ca.crt: secrets/data/security-audit/kafka
+      vault.hashicorp.com/agent-inject-template-kafka-ca.crt: |-
+        {{ "{{- with secret \"secrets/data/security-audit/kafka\" -}}" }}
+        {{ "{{ .Data.data.ca_crt }}" }}
+        {{ "{{- end -}}" }}
+
+    # Контур-специфичное (CONTOUR, KAFKA_BROKERS) задаётся в оверлее через extraEnvs.
+    # Полный конфиг вместо мержа с дефолтами чарта.
+    alternateConfig:
+      extensions:
+        health_check:
+          endpoint: ${env:MY_POD_IP}:13133
+        file_storage/audit:
+          directory: /var/lib/otelcol-audit
+          compaction:
+            on_start: true
+            directory: /var/lib/otelcol-audit
+
+      receivers:
+        filelog/audit:
+          include:
+            - /var/log/audit/kube-apiserver-audit*.log      # текущий и ротированные (lumberjack)
+          start_at: beginning
+          storage: file_storage/audit                       # позиции чтения переживают рестарт
+          max_log_size: 8MiB                                # дефолт 1MiB режет RequestResponse
+          poll_interval: 1s
+          include_file_name: false
+          operators:
+            - type: json_parser
+              parse_to: body
+
+      processors:
+        memory_limiter:
+          check_interval: 1s
+          limit_mib: 400
+          spike_limit_mib: 100
+        transform/audit:
+          error_mode: ignore
+          log_statements:
+            - context: log
+              statements:
+                # --- объём и шум ---
+                - delete_key(body["requestObject"]["metadata"], "managedFields") where body["requestObject"] != nil
+                - delete_key(body["responseObject"]["metadata"], "managedFields") where body["responseObject"] != nil
+                - delete_key(body["requestObject"]["metadata"]["annotations"], "kubectl.kubernetes.io/last-applied-configuration") where body["requestObject"] != nil
+                - delete_key(body["responseObject"]["metadata"]["annotations"], "kubectl.kubernetes.io/last-applied-configuration") where body["responseObject"] != nil
+                # --- маскирование (п.23): значения, а не сама команда exec ---
+                - replace_pattern(body["requestURI"], "(?i)(password|passwd|pwd|token|secret|api[_-]?key)(=|%3D)[^&]*", "$$1$$2***")
+                # --- обогащение ---
+                - set(body["sarex_contour"], "${env:CONTOUR}")
+                - set(body["sarex_dry_run"], IsMatch(body["requestURI"], "[?&]dryRun=All"))
+                # --- действие ---
+                - set(body["sarex_action"], "read") where body["verb"] == "get" or body["verb"] == "list"
+                - set(body["sarex_action"], "mutate") where body["verb"] == "create" or body["verb"] == "update" or body["verb"] == "patch" or body["verb"] == "delete" or body["verb"] == "deletecollection"
+                - set(body["sarex_action"], "status") where body["objectRef"]["subresource"] == "status"
+                - set(body["sarex_action"], "interactive") where IsMatch(body["objectRef"]["subresource"], "^(exec|attach|portforward)$")
+                # --- исход ---
+                - set(body["sarex_outcome"], "applied") where body["responseStatus"]["code"] >= 200 and body["responseStatus"]["code"] < 300 and body["sarex_dry_run"] == false
+                - set(body["sarex_outcome"], "dry_run") where body["responseStatus"]["code"] >= 200 and body["responseStatus"]["code"] < 300 and body["sarex_dry_run"] == true
+                - set(body["sarex_outcome"], "denied_authn") where body["responseStatus"]["code"] == 401
+                - set(body["sarex_outcome"], "denied_authz") where body["responseStatus"]["code"] == 403 and body["annotations"]["authorization.k8s.io/decision"] == "forbid"
+                - set(body["sarex_outcome"], "denied_admission") where body["responseStatus"]["code"] >= 400 and body["responseStatus"]["code"] < 500 and body["annotations"]["authorization.k8s.io/decision"] == "allow" and body["responseStatus"]["code"] != 404 and body["responseStatus"]["code"] != 409 and body["responseStatus"]["code"] != 422
+                - set(body["sarex_outcome"], "invalid") where body["responseStatus"]["code"] == 422
+                - set(body["sarex_outcome"], "conflict") where body["responseStatus"]["code"] == 409
+                - set(body["sarex_outcome"], "not_found") where body["responseStatus"]["code"] == 404
+                - set(body["sarex_outcome"], "error") where body["responseStatus"]["code"] >= 500
+                # --- субъект (порядок важен: сначала общее, потом частное) ---
+                - set(body["sarex_actor_type"], "human")
+                - set(body["sarex_actor_type"], "serviceaccount") where IsMatch(body["user"]["username"], "^system:serviceaccount:")
+                - set(body["sarex_actor_type"], "controller") where IsMatch(body["user"]["username"], "^system:serviceaccount:kube-system:") or IsMatch(body["user"]["username"], "^system:(kube-|apiserver)")
+                - set(body["sarex_actor_type"], "node") where IsMatch(body["user"]["username"], "^system:node:")
+                - set(body["sarex_actor_type"], "gitops") where IsMatch(body["user"]["username"], "^system:serviceaccount:flux-system:")
+        batch:
+          send_batch_size: 500
+          send_batch_max_size: 1000
+          timeout: 2s
+
+      exporters:
+        kafka/audit:
+          brokers:
+            - ${env:KAFKA_BROKERS}
+          protocol_version: 2.8.0
+          topic: security.k8s-audit
+          encoding: raw                       # в сообщение — только body (JSON события), без OTLP-обёртки
+          auth:
+            sasl:
+              mechanism: SCRAM-SHA-512
+              username: ${file:/vault/secrets/kafka-username}
+              password: ${file:/vault/secrets/kafka-password}
+            tls:
+              insecure: false
+              ca_file: /vault/secrets/kafka-ca.crt
+          producer:
+            required_acks: -1
+            compression: zstd
+            max_message_bytes: 5242880
+          sending_queue:
+            enabled: true
+            storage: file_storage/audit       # очередь на диске: Kafka недоступна → данные не теряются
+            queue_size: 10000
+            num_consumers: 2
+          retry_on_failure:
+            enabled: true
+            initial_interval: 5s
+            max_interval: 60s
+            max_elapsed_time: 0               # повторять бесконечно; при полной очереди — backpressure на filelog
+
+      service:
+        extensions: [health_check, file_storage/audit]
+        pipelines:
+          logs/audit:
+            receivers: [filelog/audit]
+            processors: [memory_limiter, transform/audit, batch]
+            exporters: [kafka/audit]
+        telemetry:
+          logs:
+            level: info
+          metrics:
+            address: ${env:MY_POD_IP}:8888

infrastructure/security-audit/base/idp-actions-bootstrap/files/events.txt

@@ -0,0 +1,71 @@
+# Типы событий Zitadel, на которые вешается Execution → access-collector (п.14–16 документа ИБ).
+# По одному в строке, # — комментарий. Имена сверены с internal/repository/* Zitadel v4.12.2;
+# фактический список инстанса Job печатает в лог (known: ...), неизвестное имя — ошибка Job'а.
+# Групп пользователей (агрегат group) в v4.12.2 нет.
+
+# создание пользователя
+user.human.added
+user.human.selfregistered
+user.machine.added
+# изменение пользователя
+user.human.profile.changed
+user.human.email.changed
+user.human.phone.changed
+user.username.changed
+user.machine.changed
+user.human.password.changed
+# жизненный цикл: деактивация, блокировка, удаление
+user.deactivated
+user.reactivated
+user.locked
+user.unlocked
+user.removed
+# вход: пароль
+user.human.password.check.succeeded
+user.human.password.check.failed
+# вход: второй фактор
+user.human.mfa.otp.check.succeeded
+user.human.mfa.otp.check.failed
+user.human.mfa.otp.sms.check.succeeded
+user.human.mfa.otp.sms.check.failed
+user.human.mfa.otp.email.check.succeeded
+user.human.mfa.otp.email.check.failed
+user.human.mfa.u2f.token.check.succeeded
+user.human.mfa.u2f.token.check.failed
+user.human.passwordless.token.check.succeeded
+user.human.passwordless.token.check.failed
+# изменение факторов и токенов (добавление/снятие второго фактора, PAT, имперсонация)
+user.human.mfa.otp.added
+user.human.mfa.otp.removed
+user.human.mfa.u2f.token.added
+user.human.mfa.u2f.token.removed
+user.human.passwordless.token.added
+user.human.passwordless.token.removed
+user.token.added
+user.token.removed
+user.impersonated
+# роли (user grants)
+user.grant.added
+user.grant.changed
+user.grant.cascade.changed
+user.grant.removed
+user.grant.cascade.removed
+user.grant.deactivated
+user.grant.reactivated
+# members: инстанс (администраторы IAM), организация, проект, грант проекта
+instance.member.added
+instance.member.changed
+instance.member.removed
+instance.member.cascade.removed
+org.member.added
+org.member.changed
+org.member.removed
+org.member.cascade.removed
+project.member.added
+project.member.changed
+project.member.removed
+project.member.cascade.removed
+project.grant.member.added
+project.grant.member.changed
+project.grant.member.removed
+project.grant.member.cascade.removed

infrastructure/security-audit/base/idp-actions-bootstrap/files/idp-actions-bootstrap.sh

@@ -0,0 +1,159 @@
+#!/bin/sh
+# Идемпотентная настройка Zitadel Actions v2 для журнала ИБ: Target (restAsync) → access-collector
+# и Execution'ы на события из EVENTS_FILE. С флагом --remove (или MODE=remove) снимает Target
+# с этих Execution'ов и удаляет его.
+#
+# Без set -x: заголовки с PAT лежат в файле $TMP/headers и в вывод не попадают.
+# Ответы API с signingKey наружу не выводятся: коллектор подпись не проверяет. При переходе на приёмник
+# с проверкой HMAC ключ из ответа CreateTarget нужно будет записать во Vault, а не в лог.
+#
+# Код выхода ≠ 0 при любой ошибке; остальные события при этом всё равно обрабатываются.
+set -eu
+
+MODE="${MODE:-apply}"
+[ "${1:-}" = "--remove" ] && MODE=remove
+
+: "${ZITADEL_API:?ZITADEL_API не задан (http://<service>:8080)}"
+: "${ZITADEL_HOST:?ZITADEL_HOST не задан (внешний домен инстанса, ExternalDomain)}"
+TARGET_NAME="${TARGET_NAME:-security-audit-idp-events}"
+TARGET_ENDPOINT="${TARGET_ENDPOINT:-http://access-collector.security-audit.svc.cluster.local:8088/zitadel/events}"
+TARGET_TIMEOUT="${TARGET_TIMEOUT:-10s}"
+EVENTS_FILE="${EVENTS_FILE:-/config/events.txt}"
+PAT_FILE="${PAT_FILE:-/vault/secrets/zitadel-pat}"
+CURL_MAX_TIME="${CURL_MAX_TIME:-20}"
+CONNECT_ATTEMPTS="${CONNECT_ATTEMPTS:-10}"
+CONNECT_PAUSE="${CONNECT_PAUSE:-15}"
+ISTIO_QUIT_ON_EXIT="${ISTIO_QUIT_ON_EXIT:-false}"
+TMP="${TMPDIR:-/tmp}"
+
+# Job в mesh: istio-proxy сам не завершится, без quitquitquit под останется Running.
+quit_proxy() {
+  if [ "$ISTIO_QUIT_ON_EXIT" = "true" ]; then
+    curl -fsS --max-time 5 -X POST http://127.0.0.1:15020/quitquitquit >/dev/null 2>&1 || true
+  fi
+}
+trap quit_proxy EXIT
+
+log() { printf '%s\n' "$*"; }
+err() { printf 'ОШИБКА: %s\n' "$*" >&2; }
+
+[ -r "$PAT_FILE" ] || { err "нет файла PAT $PAT_FILE (Vault Agent)"; exit 1; }
+[ -r "$EVENTS_FILE" ] || { err "нет списка событий $EVENTS_FILE"; exit 1; }
+
+# Инстанс выбирается по x-zitadel-instance-host (InstanceHostHeaders Zitadel), Host остаётся именем Service:
+# по нему istio-proxy находит маршрут и шлёт запрос с mTLS. X-Forwarded-Proto — инстанс с ExternalSecure.
+umask 077
+{
+  printf 'Authorization: Bearer %s\n' "$(tr -d '\r\n' <"$PAT_FILE")"
+  printf 'x-zitadel-instance-host: %s\n' "$ZITADEL_HOST"
+  printf 'x-zitadel-public-host: %s\n' "$ZITADEL_HOST"
+  printf 'X-Forwarded-Proto: https\n'
+  printf 'Content-Type: application/json\n'
+  printf 'Accept: application/json\n'
+} >"$TMP/headers"
+
+# api METHOD PATH [BODY]: тело ответа в stdout при 2xx; иначе код и текст ошибки в stderr, return 1.
+api() {
+  _method=$1 _path=$2
+  if [ $# -ge 3 ]; then set -- --data "$3"; else set --; fi
+  _code=$(curl -sS -o "$TMP/resp" -w '%{http_code}' --max-time "$CURL_MAX_TIME" \
+    -X "$_method" -H @"$TMP/headers" "$@" "$ZITADEL_API$_path") || _code=000
+  case "$_code" in
+    2??) cat "$TMP/resp" ;;
+    *) err "$_method $_path → HTTP $_code: $(head -c 300 "$TMP/resp" 2>/dev/null | tr '\n' ' ')"; return 1 ;;
+  esac
+}
+
+# --- 1. Доступность API (Zitadel и коллектор поднимаются раньше Job'а, но без dependsOn) ---
+attempt=1
+until curl -fsS -o /dev/null --max-time "$CURL_MAX_TIME" -H @"$TMP/headers" "$ZITADEL_API/debug/ready"; do
+  if [ "$attempt" -ge "$CONNECT_ATTEMPTS" ]; then
+    err "Zitadel недоступен: $ZITADEL_API (попыток: $attempt)"; exit 1
+  fi
+  log "Zitadel не готов, попытка $attempt/$CONNECT_ATTEMPTS, пауза ${CONNECT_PAUSE}s"
+  attempt=$((attempt + 1))
+  sleep "$CONNECT_PAUSE"
+done
+
+# --- 2. Типы событий инстанса: в лог — для сверки списка, и для проверки имён ниже ---
+# Ответ сначала в переменную: в конвейере api | jq код ошибки api потерялся бы (set -e смотрит на jq).
+resp=$(api POST /admin/v1/events/types/_search '{}')
+printf '%s' "$resp" | jq -r '.eventTypes[]?.type' | sort -u >"$TMP/known-events"
+log "Типы событий Zitadel ($(wc -l <"$TMP/known-events")):"
+sed 's/^/  known: /' "$TMP/known-events"
+
+sed -e 's/#.*//' -e 's/[[:space:]]//g' "$EVENTS_FILE" | grep -v '^$' | sort -u >"$TMP/events"
+
+# --- 3. Target ---
+search=$(jq -nc --arg n "$TARGET_NAME" \
+  '{filters: [{targetNameFilter: {targetName: $n, method: "TEXT_FILTER_METHOD_EQUALS"}}]}')
+resp=$(api POST /v2/actions/targets/search "$search")
+printf '%s' "$resp" | jq -c --arg n "$TARGET_NAME" '[.targets[]? | select(.name == $n)
+      | {id, endpoint, timeout, async: has("restAsync")}]' >"$TMP/targets"
+found=$(jq length "$TMP/targets")
+if [ "$found" -gt 1 ]; then
+  err "Target'ов с именем $TARGET_NAME: $found, ожидался один — разберитесь вручную"; exit 1
+fi
+target_id=$(jq -r '.[0].id // empty' "$TMP/targets")
+
+if [ "$MODE" = "apply" ]; then
+  want=$(jq -nc --arg e "$TARGET_ENDPOINT" --arg t "$TARGET_TIMEOUT" \
+    '{restAsync: {}, endpoint: $e, timeout: $t}')
+  if [ -z "$target_id" ]; then
+    # Из ответа берётся только id: signingKey не выводится и не сохраняется.
+    resp=$(api POST /v2/actions/targets "$(printf '%s' "$want" | jq -c --arg n "$TARGET_NAME" '. + {name: $n}')")
+    target_id=$(printf '%s' "$resp" | jq -r '.id // empty')
+    [ -n "$target_id" ] || { err "CreateTarget не вернул id"; exit 1; }
+    log "Target $TARGET_NAME: создан, id=$target_id"
+  elif jq -e --arg e "$TARGET_ENDPOINT" --arg t "$TARGET_TIMEOUT" \
+      '.[0] | .async and .endpoint == $e and .timeout == $t' "$TMP/targets" >/dev/null; then
+    log "Target $TARGET_NAME: без изменений, id=$target_id"
+  else
+    api POST "/v2/actions/targets/$target_id" "$want" >/dev/null
+    log "Target $TARGET_NAME: обновлён (тип/endpoint/timeout), id=$target_id"
+  fi
+elif [ -z "$target_id" ]; then
+  log "Target $TARGET_NAME не найден — снимать нечего"; exit 0
+fi
+
+# --- 4. Execution'ы: чужие targets сохраняются, свой добавляется в конец (или убирается при --remove) ---
+rc=0; n_created=0; n_extended=0; n_same=0; n_removed=0; n_err=0
+while IFS= read -r ev; do
+  if ! grep -qxF "$ev" "$TMP/known-events"; then
+    log "  $ev: ошибка — такого типа нет в Zitadel"; n_err=$((n_err + 1)); rc=1; continue
+  fi
+  query=$(jq -nc --arg e "$ev" '{filters: [{inConditionsFilter: {conditions: [{event: {event: $e}}]}}]}')
+  if ! resp=$(api POST /v2/actions/executions/search "$query"); then
+    log "  $ev: ошибка чтения"; n_err=$((n_err + 1)); rc=1; continue
+  fi
+  current=$(printf '%s' "$resp" \
+    | jq -c --arg e "$ev" '[.executions[]? | select(.condition.event.event == $e) | .targets[]?]')
+  has=$(printf '%s' "$current" | jq --arg t "$target_id" 'index($t) != null')
+  if [ "$MODE" = "apply" ]; then
+    if [ "$has" = "true" ]; then log "  $ev: без изменений"; n_same=$((n_same + 1)); continue; fi
+    targets=$(printf '%s' "$current" | jq -c --arg t "$target_id" '. + [$t]')
+    if [ "$current" = "[]" ]; then status="создано"; else status="дополнено (были другие targets)"; fi
+  else
+    if [ "$has" != "true" ]; then log "  $ev: без изменений"; n_same=$((n_same + 1)); continue; fi
+    targets=$(printf '%s' "$current" | jq -c --arg t "$target_id" 'map(select(. != $t))')
+    status="target снят"
+  fi
+  body=$(jq -nc --arg e "$ev" --argjson t "$targets" '{condition: {event: {event: $e}}, targets: $t}')
+  if api PUT /v2/actions/executions "$body" >/dev/null; then
+    log "  $ev: $status"
+    case "$status" in
+      создано) n_created=$((n_created + 1)) ;;
+      дополнено*) n_extended=$((n_extended + 1)) ;;
+      *) n_removed=$((n_removed + 1)) ;;
+    esac
+  else
+    log "  $ev: ошибка записи"; n_err=$((n_err + 1)); rc=1
+  fi
+done <"$TMP/events"
+
+if [ "$MODE" = "remove" ] && [ "$rc" -eq 0 ]; then
+  api DELETE "/v2/actions/targets/$target_id" >/dev/null && log "Target $TARGET_NAME удалён, id=$target_id" || rc=1
+fi
+
+log "Итог ($MODE): target=$target_id, событий=$(wc -l <"$TMP/events"), создано=$n_created, дополнено=$n_extended, снято=$n_removed, без изменений=$n_same, ошибок=$n_err"
+exit "$rc"

infrastructure/security-audit/base/idp-actions-bootstrap/job.yaml

@@ -0,0 +1,91 @@
+# Один раз (и после каждой правки скрипта/списка событий) настраивает Target и Execution'ы в Zitadel.
+# Spec Job'а неизменяем: Flux пересоздаёт его (force). После ttlSecondsAfterFinished Job удаляется,
+# и Flux создаёт его заново при следующей сверке — скрипт идемпотентен, повторный запуск ничего не меняет.
+apiVersion: batch/v1
+kind: Job
+metadata:
+  name: idp-actions-bootstrap
+  annotations:
+    kustomize.toolkit.fluxcd.io/force: enabled
+spec:
+  backoffLimit: 3
+  ttlSecondsAfterFinished: 86400
+  template:
+    metadata:
+      labels:
+        security-audit/job: idp-actions-bootstrap
+        # В mesh: запросы к Zitadel идут с mTLS (п.30). istio-proxy завершает сам скрипт (quitquitquit).
+        sidecar.istio.io/inject: "true"
+      annotations:
+        sidecar.istio.io/inject: "true"
+        proxy.istio.io/config: '{"holdApplicationUntilProxyStarts": true}'
+        traffic.sidecar.istio.io/excludeOutboundPorts: "8200"   # Vault мимо istio-proxy (паттерн контура)
+        vault.hashicorp.com/agent-inject: "true"
+        vault.hashicorp.com/agent-init-first: "true"
+        vault.hashicorp.com/agent-pre-populate-only: "true"
+        vault.hashicorp.com/agent-requests-cpu: "25m"
+        vault.hashicorp.com/agent-limits-cpu: "100m"
+        vault.hashicorp.com/auth-path: auth/kubernetes
+        vault.hashicorp.com/role: security-audit-bootstrap
+        vault.hashicorp.com/agent-inject-secret-zitadel-pat: secrets/data/security-audit/zitadel-bootstrap
+        vault.hashicorp.com/agent-inject-template-zitadel-pat: |-
+          {{- with secret "secrets/data/security-audit/zitadel-bootstrap" -}}
+          {{ .Data.data.pat }}
+          {{- end -}}
+    spec:
+      serviceAccountName: idp-actions-bootstrap
+      restartPolicy: Never
+      imagePullSecrets:
+        - name: regcred
+      securityContext:
+        runAsNonRoot: true
+        runAsUser: 1001
+        runAsGroup: 1001
+        seccompProfile: {type: RuntimeDefault}
+      initContainers:
+        # В registry контура нет образа с curl и jq вместе: jq (1.6, Debian 12) берётся из образа kubectl,
+        # который уже использует setup-Job Zitadel, curl — из образа kafka (тоже Debian 12).
+        # TODO(verify): заменить на один toolbox-образ (generic/base-image), когда он появится.
+        - name: tools
+          image: cr.yandex/crp3ccidau046kdj8g9q/contour/zitadel/kubectl:1.33.4
+          command:
+            - sh
+            - -c
+            - cp -L /usr/bin/jq /lib/x86_64-linux-gnu/libjq.so.1 /lib/x86_64-linux-gnu/libonig.so.5 /tools/
+          securityContext: &container-security
+            runAsNonRoot: true
+            readOnlyRootFilesystem: true
+            allowPrivilegeEscalation: false
+            capabilities:
+              drop: [ALL]
+          resources: &resources
+            requests: {cpu: 10m, memory: 32Mi}
+            limits: {cpu: 200m, memory: 128Mi}
+          volumeMounts:
+            - {name: tools, mountPath: /tools}
+      containers:
+        - name: bootstrap
+          image: cr.yandex/crp3ccidau046kdj8g9q/contour/kafka-nn/kafka:4.0.0-debian-12-r10
+          command: ["sh", "/scripts/idp-actions-bootstrap.sh"]
+          env:
+            # ZITADEL_API и ZITADEL_HOST задаёт оверлей контура.
+            - {name: PATH, value: "/tools:/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin"}
+            - {name: LD_LIBRARY_PATH, value: /tools}
+            - {name: EVENTS_FILE, value: /config/events.txt}
+            - {name: PAT_FILE, value: /vault/secrets/zitadel-pat}
+            - {name: ISTIO_QUIT_ON_EXIT, value: "true"}
+            - {name: TMPDIR, value: /tmp}
+          securityContext: *container-security
+          resources: *resources
+          volumeMounts:
+            - {name: tools, mountPath: /tools, readOnly: true}
+            - {name: script, mountPath: /scripts, readOnly: true}
+            - {name: events, mountPath: /config, readOnly: true}
+            - {name: tmp, mountPath: /tmp}
+      volumes:
+        - {name: tools, emptyDir: {sizeLimit: 16Mi}}
+        - {name: tmp, emptyDir: {medium: Memory, sizeLimit: 16Mi}}   # заголовки с PAT — только в памяти
+        - name: script
+          configMap: {name: idp-actions-bootstrap-script}
+        - name: events
+          configMap: {name: idp-actions-bootstrap-events}

infrastructure/security-audit/base/idp-actions-bootstrap/kustomization.yaml

@@ -0,0 +1,21 @@
+# Настройка Zitadel Actions v2 (Target + Execution'ы) для потока событий IdP.
+# Скрипт и список событий — через configMapGenerator: хеш в имени ConfigMap меняет spec Job'а,
+# и Flux (kustomize.toolkit.fluxcd.io/force) пересоздаёт неизменяемый Job при правке любого из них.
+# namespace задаёт base (security-audit).
+apiVersion: kustomize.config.k8s.io/v1beta1
+kind: Kustomization
+resources:
+  - serviceaccount.yaml
+  - networkpolicy.yaml
+  - job.yaml
+# ${...} в скрипте — переменные sh: в контурах с postBuild.substitute Flux не должен их подставлять.
+generatorOptions:
+  annotations:
+    kustomize.toolkit.fluxcd.io/substitute: disabled
+configMapGenerator:
+  - name: idp-actions-bootstrap-script
+    files:
+      - files/idp-actions-bootstrap.sh
+  - name: idp-actions-bootstrap-events
+    files:
+      - files/events.txt

infrastructure/security-audit/base/idp-actions-bootstrap/networkpolicy.yaml

@@ -0,0 +1,30 @@
+# Дополняет общую audit-collector (podSelector: {} — действует и на под Job'а: DNS, Vault, Kafka).
+apiVersion: networking.k8s.io/v1
+kind: NetworkPolicy
+metadata:
+  name: idp-actions-bootstrap
+spec:
+  podSelector:
+    matchLabels:
+      security-audit/job: idp-actions-bootstrap
+  policyTypes: [Ingress, Egress]
+  ingress:
+    - ports:
+        - {port: 15021, protocol: TCP}   # readiness istio-proxy (kubelet)
+  egress:
+    - to:
+        - namespaceSelector:
+            matchLabels: {kubernetes.io/metadata.name: zitadel}
+          podSelector:
+            matchLabels:
+              app.kubernetes.io/name: idp-contour
+              app.kubernetes.io/component: start
+      ports:
+        - {port: 8080, protocol: TCP}
+    - to:
+        - namespaceSelector:
+            matchLabels: {kubernetes.io/metadata.name: istio-system}
+          podSelector:
+            matchLabels: {app: istiod}
+      ports:
+        - {port: 15012, protocol: TCP}   # xDS и сертификаты istio-proxy

infrastructure/security-audit/base/idp-actions-bootstrap/serviceaccount.yaml

@@ -0,0 +1,5 @@
+# = bound SA роли Vault security-audit-bootstrap. Доступ к Kubernetes API не нужен.
+apiVersion: v1
+kind: ServiceAccount
+metadata:
+  name: idp-actions-bootstrap

infrastructure/security-audit/base/kustomization.yaml

@@ -0,0 +1,11 @@
+apiVersion: kustomize.config.k8s.io/v1beta1
+kind: Kustomization
+namespace: security-audit
+resources:
+  - namespace.yaml
+  - networkpolicy.yaml
+  - networkpolicy-access-collector.yaml
+  - authorizationpolicy-access-collector.yaml
+  - helmrelease-collector.yaml
+  - helmrelease-access-collector.yaml
+  - idp-actions-bootstrap

infrastructure/security-audit/base/namespace.yaml

@@ -0,0 +1,12 @@
+apiVersion: v1
+kind: Namespace
+metadata:
+  name: security-audit
+  labels:
+    # hostPath (/var/log/audit, чекпоинты) запрещён профилем baseline — нужен privileged.
+    pod-security.kubernetes.io/enforce: privileged
+    pod-security.kubernetes.io/warn: baseline
+    pod-security.kubernetes.io/audit: baseline
+    # Без istio-injection: инъекция только по метке пода sidecar.istio.io/inject=true
+    # (webhook object.sidecar-injector.istio.io). Метка disabled отключила бы и её.
+    # Sidecar получает access-collector (п.30); audit-collector — нет.

infrastructure/security-audit/base/networkpolicy-access-collector.yaml

@@ -0,0 +1,44 @@
+# Дополняет общую audit-collector (DNS, Kafka, Vault, 13133): политики складываются.
+apiVersion: networking.k8s.io/v1
+kind: NetworkPolicy
+metadata:
+  name: access-collector
+spec:
+  podSelector:
+    matchLabels:
+      security-audit/collector: access
+  policyTypes: [Ingress, Egress]
+  ingress:
+    # OTLP gRPC только от ingress-шлюза. Селектор шлюза — заглушка, контур задаёт его патчем оверлея;
+    # без патча не совпадёт ни с одним подом (закрыто по умолчанию).
+    - from:
+        - namespaceSelector:
+            matchLabels: {kubernetes.io/metadata.name: istio-system}
+          podSelector:
+            matchLabels: {security-audit/gateway: unset}
+      ports:
+        - {port: 4317, protocol: TCP}
+    # istio-proxy: 15020 — переписанные probe'ы приложения (kubelet), 15021 — readiness самого sidecar.
+    - ports:
+        - {port: 15020, protocol: TCP}
+        - {port: 15021, protocol: TCP}
+    # События Zitadel (webhookevent) — только от подов Zitadel. Метки — чарт idp-contour, одинаковы во всех контурах.
+    # Правило добавлено последним: патч оверлея ссылается на /spec/ingress/0.
+    - from:
+        - namespaceSelector:
+            matchLabels: {kubernetes.io/metadata.name: zitadel}
+          podSelector:
+            matchLabels:
+              app.kubernetes.io/name: idp-contour
+              app.kubernetes.io/component: start
+      ports:
+        - {port: 8088, protocol: TCP}
+  egress:
+    # xDS и сертификаты istio-proxy от istiod.
+    - to:
+        - namespaceSelector:
+            matchLabels: {kubernetes.io/metadata.name: istio-system}
+          podSelector:
+            matchLabels: {app: istiod}
+      ports:
+        - {port: 15012, protocol: TCP}

infrastructure/security-audit/base/networkpolicy.yaml

@@ -0,0 +1,32 @@
+# Коллектору нужны только DNS, Kafka и Vault (агент-инжектор). Входящие — только health-check kubelet'а.
+apiVersion: networking.k8s.io/v1
+kind: NetworkPolicy
+metadata:
+  name: audit-collector
+spec:
+  podSelector: {}
+  policyTypes: [Ingress, Egress]
+  ingress:
+    - ports:
+        - {port: 13133, protocol: TCP}   # health_check (liveness/readiness)
+  egress:
+    - to:
+        - namespaceSelector:
+            matchLabels: {kubernetes.io/metadata.name: kube-system}
+          podSelector:
+            matchLabels: {k8s-app: kube-dns}
+        - ipBlock: {cidr: 169.254.25.10/32}   # nodelocaldns kubespray; TODO(verify): enable_nodelocaldns в контуре
+      ports:
+        - {port: 53, protocol: UDP}
+        - {port: 53, protocol: TCP}
+    - to:
+        - namespaceSelector:
+            matchLabels: {kubernetes.io/metadata.name: kafka}
+      ports:
+        # client-листенер SASL_SSL: bootstrap kafka-kafka-contour и advertised-адреса подов controller-headless
+        - {port: 9092, protocol: TCP}
+    - to:
+        - namespaceSelector:
+            matchLabels: {kubernetes.io/metadata.name: vault}
+      ports:
+        - {port: 8200, protocol: TCP}         # vault-vault-contour.vault.svc:8200 (AGENT_INJECT_VAULT_ADDR)

infrastructure/security-audit/kustomization.yaml

@@ -0,0 +1,4 @@
+apiVersion: kustomize.config.k8s.io/v1beta1
+kind: Kustomization
+resources:
+  - base

infrastructure/security-audit/mesh/kustomization.yaml

@@ -0,0 +1,11 @@
+# Ресурсы шлюза Istio. Намеренно без поля namespace: base модуля переписал бы его на security-audit,
+# а этим ресурсам нужно оставаться в istio-system. Подключается из оверлея контура как resource,
+# селектор шлюза (заглушка security-audit/gateway: unset) патчится там.
+#
+# RequestAuthentication (пользователь в журнале — x-sarex-audit-sub/org) здесь пока нет: не подтверждены все
+# издатели JWT на шлюзе, а неизвестный издатель даёт 401. См. README, «Журнал доступа шлюза».
+apiVersion: kustomize.config.k8s.io/v1beta1
+kind: Kustomization
+resources:
+  - strip-audit-headers.yaml
+  - telemetry.yaml

infrastructure/security-audit/mesh/strip-audit-headers.yaml

@@ -0,0 +1,32 @@
+# Удаляет входящие x-sarex-audit-*: клиент не должен подставлять себе пользователя в журнал доступа.
+# Стоит первым HTTP-фильтром (INSERT_FIRST) — раньше jwt_authn, который заполняет эти заголовки из claims.
+apiVersion: networking.istio.io/v1alpha3
+kind: EnvoyFilter
+metadata:
+  name: strip-audit-headers
+  namespace: istio-system
+spec:
+  workloadSelector:
+    labels:
+      security-audit/gateway: unset
+  configPatches:
+    - applyTo: HTTP_FILTER
+      match:
+        context: GATEWAY
+        listener:
+          filterChain:
+            filter:
+              name: envoy.filters.network.http_connection_manager
+      patch:
+        operation: INSERT_FIRST
+        value:
+          name: security-audit.strip-audit-headers
+          typed_config:
+            "@type": type.googleapis.com/envoy.extensions.filters.http.lua.v3.Lua
+            default_source_code:
+              inline_string: |
+                function envoy_on_request(request_handle)
+                  local headers = request_handle:headers()
+                  headers:remove("x-sarex-audit-sub")
+                  headers:remove("x-sarex-audit-org")
+                end

infrastructure/security-audit/mesh/telemetry.yaml

@@ -0,0 +1,17 @@
+# Включает провайдер audit-access (meshConfig.extensionProviders в istiod) на ingress-шлюзе.
+# Провайдер должен быть раскатан раньше: иначе istiod не найдёт его и журнал не включится.
+apiVersion: telemetry.istio.io/v1
+kind: Telemetry
+metadata:
+  name: gateway-audit-access
+  namespace: istio-system
+spec:
+  selector:
+    matchLabels:
+      security-audit/gateway: unset
+  accessLogging:
+    - providers:
+        - name: audit-access
+      # Только health-check'и. Статику не исключаем — решение за ИБ.
+      filter:
+        expression: '!(request.url_path.startsWith("/healthz") || request.url_path.startsWith("/ready"))'

infrastructure/security-audit/uralkal/access-collector.yaml

@@ -0,0 +1,17 @@
+apiVersion: helm.toolkit.fluxcd.io/v2
+kind: HelmRelease
+metadata:
+  name: access-collector
+  namespace: security-audit
+spec:
+  dependsOn:
+    - name: kafka
+      namespace: kafka
+    - name: vault
+      namespace: vault
+  values:
+    extraEnvs:
+      - name: CONTOUR
+        value: uralkal
+      - name: KAFKA_BROKERS
+        value: kafka-kafka-contour.kafka.svc.cluster.local:9092

infrastructure/security-audit/uralkal/audit-collector.yaml

@@ -0,0 +1,18 @@
+apiVersion: helm.toolkit.fluxcd.io/v2
+kind: HelmRelease
+metadata:
+  name: audit-collector
+  namespace: security-audit
+spec:
+  dependsOn:
+    - name: kafka
+      namespace: kafka
+    - name: vault
+      namespace: vault
+  values:
+    extraEnvs:
+      - name: CONTOUR
+        value: uralkal
+      # Service bitnami-чарта kafka-contour (релиз kafka); тот же адрес у приложений apps/*/uralkal.
+      - name: KAFKA_BROKERS
+        value: kafka-kafka-contour.kafka.svc.cluster.local:9092

infrastructure/security-audit/uralkal/idp-actions-bootstrap.yaml

@@ -0,0 +1,17 @@
+# Zitadel контура: infrastructure/zitadel/uralkal (ExternalDomain, ExternalSecure: true), Service чарта idp-contour.
+apiVersion: batch/v1
+kind: Job
+metadata:
+  name: idp-actions-bootstrap
+spec:
+  template:
+    spec:
+      containers:
+        - name: bootstrap
+          env:
+            - name: ZITADEL_API
+              value: http://zitadel-idp-contour.zitadel.svc.cluster.local:8080
+            # Инстанс по x-zitadel-instance-host. TODO(verify): запрос с этим заголовком к Service проходит
+            # (см. README, «События Zitadel» → проверка API изнутри кластера).
+            - name: ZITADEL_HOST
+              value: login.sarex.local.uralkali.com

infrastructure/security-audit/uralkal/kustomization.yaml

@@ -0,0 +1,32 @@
+apiVersion: kustomize.config.k8s.io/v1beta1
+kind: Kustomization
+resources:
+  - ../base
+  - ../mesh     # istio-system; применять после раскатки провайдера audit-access в istio-pilot/uralkal
+patches:
+  - path: audit-collector.yaml
+  - path: access-collector.yaml
+  - path: idp-actions-bootstrap.yaml
+  # Селектор ingress-шлюза (HelmRelease istio-system/ingressgateway): replace, а не merge —
+  # merge-patch CRD оставил бы и заглушку security-audit/gateway.
+  - target:
+      kind: EnvoyFilter
+      name: strip-audit-headers
+    patch: |-
+      - op: replace
+        path: /spec/workloadSelector/labels
+        value: {istio: ingressgateway}
+  - target:
+      kind: Telemetry
+      name: gateway-audit-access
+    patch: |-
+      - op: replace
+        path: /spec/selector/matchLabels
+        value: {istio: ingressgateway}
+  - target:
+      kind: NetworkPolicy
+      name: access-collector
+    patch: |-
+      - op: replace
+        path: /spec/ingress/0/from/0/podSelector/matchLabels
+        value: {istio: ingressgateway}

infrastructure/zitadel/contour-template/zitadel.yaml

@@ -110,6 +110,17 @@ spec:
       configmapConfig:
         ExternalDomain: ${HOST_LOGIN}
         ExternalSecure: true
+        # IAM_OWNER service user for sarexctl phase zitadel-setup; the chart stores its key
+        # in secret zitadel/sarex-installer. Created only on the first instance setup.
+        FirstInstance:
+          Org:
+            Machine:
+              Machine:
+                Username: sarex-installer
+                Name: sarexctl
+              MachineKey:
+                ExpirationDate: "2099-01-01T00:00:00Z"
+                Type: 1
       debug:
         enabled: false
     postgresqlSecret: