34 lines
1.3 KiB
YAML
34 lines
1.3 KiB
YAML
# Дополняет общую audit-collector (DNS, Kafka, Vault, 13133): политики складываются.
|
||
apiVersion: networking.k8s.io/v1
|
||
kind: NetworkPolicy
|
||
metadata:
|
||
name: access-collector
|
||
spec:
|
||
podSelector:
|
||
matchLabels:
|
||
security-audit/collector: access
|
||
policyTypes: [Ingress, Egress]
|
||
ingress:
|
||
# OTLP gRPC только от ingress-шлюза. Селектор шлюза — заглушка, контур задаёт его патчем оверлея;
|
||
# без патча не совпадёт ни с одним подом (закрыто по умолчанию).
|
||
- from:
|
||
- namespaceSelector:
|
||
matchLabels: {kubernetes.io/metadata.name: istio-system}
|
||
podSelector:
|
||
matchLabels: {security-audit/gateway: unset}
|
||
ports:
|
||
- {port: 4317, protocol: TCP}
|
||
# istio-proxy: 15020 — переписанные probe'ы приложения (kubelet), 15021 — readiness самого sidecar.
|
||
- ports:
|
||
- {port: 15020, protocol: TCP}
|
||
- {port: 15021, protocol: TCP}
|
||
egress:
|
||
# xDS и сертификаты istio-proxy от istiod.
|
||
- to:
|
||
- namespaceSelector:
|
||
matchLabels: {kubernetes.io/metadata.name: istio-system}
|
||
podSelector:
|
||
matchLabels: {app: istiod}
|
||
ports:
|
||
- {port: 15012, protocol: TCP}
|