28 lines
1.5 KiB
YAML
28 lines
1.5 KiB
YAML
# Транспортная аутентификация вместо HMAC-подписи Zitadel: mTLS Istio + проверка identity источника.
|
||
# Как только к workload применяется хотя бы одна ALLOW-политика, весь остальной трафик к нему запрещён.
|
||
# - Probe'ы kubelet не блокируются: sidecar переписывает их на pilot-agent (:15020), а тот обращается
|
||
# к приложению напрямую, мимо Envoy и его RBAC-фильтра.
|
||
# - При подключении сбора метрик коллектора (:8888) добавить отдельное правило для источника сбора.
|
||
# Условие: Zitadel в mesh (ns zitadel istio-injection=enabled, под с sidecar.istio.io/inject=true), иначе
|
||
# у его запросов нет principal и правило 1 их отклонит.
|
||
apiVersion: security.istio.io/v1
|
||
kind: AuthorizationPolicy
|
||
metadata:
|
||
name: access-collector
|
||
spec:
|
||
selector:
|
||
matchLabels:
|
||
security-audit/collector: access # podLabels HelmRelease access-collector
|
||
action: ALLOW
|
||
rules:
|
||
- from:
|
||
- source:
|
||
principals: ["cluster.local/ns/zitadel/sa/zitadel"] # SA Deployment zitadel-idp-contour
|
||
to:
|
||
- operation: {ports: ["8088"], methods: ["POST"], paths: ["/zitadel/events"]}
|
||
- from:
|
||
- source:
|
||
namespaces: ["istio-system"]
|
||
to:
|
||
- operation: {ports: ["4317"]}
|