3162679524
В контуре uralkal роли Vault (security-audit, security-audit-bootstrap) не заведены.
Коллекторы и Job idp-actions-bootstrap монтируют Secret'ы namespace (security-audit-kafka,
kafka-ca) projected volume'ом в /vault/secrets под теми же именами файлов — конфиг
коллекторов (${file:...}, ca_file) не меняется. Из NetworkPolicy убран egress в Vault,
из оверлея uralkal — dependsOn на HelmRelease vault.
29 lines
1.1 KiB
YAML
29 lines
1.1 KiB
YAML
# Коллектору нужны только DNS и Kafka. Входящие — только health-check kubelet'а.
|
||
# (Раньше был egress в Vault для агента-инжектора; креды — статические Secret'ы.)
|
||
apiVersion: networking.k8s.io/v1
|
||
kind: NetworkPolicy
|
||
metadata:
|
||
name: audit-collector
|
||
spec:
|
||
podSelector: {}
|
||
policyTypes: [Ingress, Egress]
|
||
ingress:
|
||
- ports:
|
||
- {port: 13133, protocol: TCP} # health_check (liveness/readiness)
|
||
egress:
|
||
- to:
|
||
- namespaceSelector:
|
||
matchLabels: {kubernetes.io/metadata.name: kube-system}
|
||
podSelector:
|
||
matchLabels: {k8s-app: kube-dns}
|
||
- ipBlock: {cidr: 169.254.25.10/32} # nodelocaldns kubespray; TODO(verify): enable_nodelocaldns в контуре
|
||
ports:
|
||
- {port: 53, protocol: UDP}
|
||
- {port: 53, protocol: TCP}
|
||
- to:
|
||
- namespaceSelector:
|
||
matchLabels: {kubernetes.io/metadata.name: kafka}
|
||
ports:
|
||
# client-листенер SASL_SSL: bootstrap kafka-kafka-contour и advertised-адреса подов controller-headless
|
||
- {port: 9092, protocol: TCP}
|