# Дополняет общую audit-collector (DNS, Kafka, Vault, 13133): политики складываются.
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: access-collector
spec:
  podSelector:
    matchLabels:
      security-audit/collector: access
  policyTypes: [Ingress, Egress]
  ingress:
    # OTLP gRPC только от ingress-шлюза. Селектор шлюза — заглушка, контур задаёт его патчем оверлея;
    # без патча не совпадёт ни с одним подом (закрыто по умолчанию).
    - from:
        - namespaceSelector:
            matchLabels: {kubernetes.io/metadata.name: istio-system}
          podSelector:
            matchLabels: {security-audit/gateway: unset}
      ports:
        - {port: 4317, protocol: TCP}
    # istio-proxy: 15020 — переписанные probe'ы приложения (kubelet), 15021 — readiness самого sidecar.
    - ports:
        - {port: 15020, protocol: TCP}
        - {port: 15021, protocol: TCP}
    # События Zitadel (webhookevent) — только от подов Zitadel. Метки — чарт idp-contour, одинаковы во всех контурах.
    # Правило добавлено последним: патч оверлея ссылается на /spec/ingress/0.
    - from:
        - namespaceSelector:
            matchLabels: {kubernetes.io/metadata.name: zitadel}
          podSelector:
            matchLabels:
              app.kubernetes.io/name: idp-contour
              app.kubernetes.io/component: start
      ports:
        - {port: 8088, protocol: TCP}
    # Журнал аудита Vault (audit-shipper в подах StatefulSet). Метки — чарт vault-contour.
    - from:
        - namespaceSelector:
            matchLabels: {kubernetes.io/metadata.name: vault}
          podSelector:
            matchLabels:
              app.kubernetes.io/name: vault-contour
              component: server
      ports:
        - {port: 4319, protocol: TCP}
  egress:
    # xDS и сертификаты istio-proxy от istiod.
    - to:
        - namespaceSelector:
            matchLabels: {kubernetes.io/metadata.name: istio-system}
          podSelector:
            matchLabels: {app: istiod}
      ports:
        - {port: 15012, protocol: TCP}