apiVersion: v1
kind: Namespace
metadata:
  name: security-audit
  labels:
    # hostPath (/var/log/audit, чекпоинты) запрещён профилем baseline — нужен privileged.
    pod-security.kubernetes.io/enforce: privileged
    pod-security.kubernetes.io/warn: baseline
    pod-security.kubernetes.io/audit: baseline
    # Без istio-injection: инъекция только по метке пода sidecar.istio.io/inject=true
    # (webhook object.sidecar-injector.istio.io). Метка disabled отключила бы и её.
    # Sidecar получает access-collector (п.30); audit-collector — нет.