# Процессору нужны: Kafka (чтение топика), внешний MinIO (запись Parquet), DNS.
# Входящие — только пробы и метрики (:8000). Складывается с общей политикой audit-collector
# (podSelector {}): её правила DNS и Kafka дублировать не обязательно, но оставляем автономность.
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: audit-processor
spec:
  podSelector:
    matchLabels:
      app.kubernetes.io/name: audit-processor
  policyTypes: [Ingress, Egress]
  ingress:
    - ports:
        - {port: 8000, protocol: TCP}   # /healthz, /readyz (kubelet), /metrics
  egress:
    - to:
        - namespaceSelector:
            matchLabels: {kubernetes.io/metadata.name: kube-system}
          podSelector:
            matchLabels: {k8s-app: kube-dns}
        - ipBlock: {cidr: 169.254.25.10/32}   # nodelocaldns kubespray
      ports:
        - {port: 53, protocol: UDP}
        - {port: 53, protocol: TCP}
    - to:
        - namespaceSelector:
            matchLabels: {kubernetes.io/metadata.name: kafka}
      ports:
        - {port: 9092, protocol: TCP}         # client-листенер SASL_SSL
    - to:
        - ipBlock: {cidr: 10.133.0.245/32}    # внешний MinIO контура (minio.uralkal.external)
      ports:
        - {port: 9000, protocol: TCP}