55 lines
2.3 KiB
YAML
55 lines
2.3 KiB
YAML
# Дополняет общую audit-collector (DNS, Kafka, Vault, 13133): политики складываются.
|
||
apiVersion: networking.k8s.io/v1
|
||
kind: NetworkPolicy
|
||
metadata:
|
||
name: access-collector
|
||
spec:
|
||
podSelector:
|
||
matchLabels:
|
||
security-audit/collector: access
|
||
policyTypes: [Ingress, Egress]
|
||
ingress:
|
||
# OTLP gRPC только от ingress-шлюза. Селектор шлюза — заглушка, контур задаёт его патчем оверлея;
|
||
# без патча не совпадёт ни с одним подом (закрыто по умолчанию).
|
||
- from:
|
||
- namespaceSelector:
|
||
matchLabels: {kubernetes.io/metadata.name: istio-system}
|
||
podSelector:
|
||
matchLabels: {security-audit/gateway: unset}
|
||
ports:
|
||
- {port: 4317, protocol: TCP}
|
||
# istio-proxy: 15020 — переписанные probe'ы приложения (kubelet), 15021 — readiness самого sidecar.
|
||
- ports:
|
||
- {port: 15020, protocol: TCP}
|
||
- {port: 15021, protocol: TCP}
|
||
# События Zitadel (webhookevent) — только от подов Zitadel. Метки — чарт idp-contour, одинаковы во всех контурах.
|
||
# Правило добавлено последним: патч оверлея ссылается на /spec/ingress/0.
|
||
- from:
|
||
- namespaceSelector:
|
||
matchLabels: {kubernetes.io/metadata.name: zitadel}
|
||
podSelector:
|
||
matchLabels:
|
||
app.kubernetes.io/name: idp-contour
|
||
app.kubernetes.io/component: start
|
||
ports:
|
||
- {port: 8088, protocol: TCP}
|
||
# Журнал аудита Vault (audit-shipper в подах StatefulSet). Метки — чарт vault-contour.
|
||
- from:
|
||
- namespaceSelector:
|
||
matchLabels: {kubernetes.io/metadata.name: vault}
|
||
podSelector:
|
||
matchLabels:
|
||
app.kubernetes.io/name: vault-contour
|
||
component: server
|
||
ports:
|
||
- {port: 4319, protocol: TCP}
|
||
egress:
|
||
# xDS и сертификаты istio-proxy от istiod.
|
||
- to:
|
||
- namespaceSelector:
|
||
matchLabels: {kubernetes.io/metadata.name: istio-system}
|
||
podSelector:
|
||
matchLabels: {app: istiod}
|
||
ports:
|
||
- {port: 15012, protocol: TCP}
|