# Включает провайдер audit-access (meshConfig.extensionProviders в istiod) на ingress-шлюзе.
# Провайдер должен быть раскатан раньше: иначе istiod не найдёт его и журнал не включится.
apiVersion: telemetry.istio.io/v1
kind: Telemetry
metadata:
  name: gateway-audit-access
  namespace: istio-system
spec:
  selector:
    matchLabels:
      security-audit/gateway: unset
  accessLogging:
    - providers:
        - name: audit-access
      # Только health-check'и. Статику не исключаем — решение за ИБ.
      filter:
        expression: '!(request.url_path.startsWith("/healthz") || request.url_path.startsWith("/ready"))'