# Транспортная аутентификация вместо HMAC-подписи Zitadel: mTLS Istio + проверка identity источника.
# Как только к workload применяется хотя бы одна ALLOW-политика, весь остальной трафик к нему запрещён.
# - Probe'ы kubelet не блокируются: sidecar переписывает их на pilot-agent (:15020), а тот обращается
#   к приложению напрямую, мимо Envoy и его RBAC-фильтра.
# - При подключении сбора метрик коллектора (:8888) добавить отдельное правило для источника сбора.
# Условие: Zitadel в mesh (ns zitadel istio-injection=enabled, под с sidecar.istio.io/inject=true), иначе
# у его запросов нет principal и правило 1 их отклонит.
apiVersion: security.istio.io/v1
kind: AuthorizationPolicy
metadata:
  name: access-collector
spec:
  selector:
    matchLabels:
      security-audit/collector: access   # podLabels HelmRelease access-collector
  action: ALLOW
  rules:
    - from:
        - source:
            principals: ["cluster.local/ns/zitadel/sa/zitadel"]   # SA Deployment zitadel-idp-contour
      to:
        - operation: {ports: ["8088"], methods: ["POST"], paths: ["/zitadel/events"]}
    - from:
        - source:
            namespaces: ["istio-system"]
      to:
        - operation: {ports: ["4317"]}
    # Журнал аудита Vault: поды StatefulSet vault-vault-contour в mesh (ns vault, istio-injection=enabled).
    # Если Vault выведут из mesh — principal пропадёт, будет 403, shipper копит очередь на PVC (см. README).
    - from:
        - source:
            principals: ["cluster.local/ns/vault/sa/vault-vault-contour"]
      to:
        - operation: {ports: ["4319"]}