35 lines
1.9 KiB
YAML
35 lines
1.9 KiB
YAML
# Транспортная аутентификация вместо HMAC-подписи Zitadel: mTLS Istio + проверка identity источника.
|
||
# Как только к workload применяется хотя бы одна ALLOW-политика, весь остальной трафик к нему запрещён.
|
||
# - Probe'ы kubelet не блокируются: sidecar переписывает их на pilot-agent (:15020), а тот обращается
|
||
# к приложению напрямую, мимо Envoy и его RBAC-фильтра.
|
||
# - При подключении сбора метрик коллектора (:8888) добавить отдельное правило для источника сбора.
|
||
# Условие: Zitadel в mesh (ns zitadel istio-injection=enabled, под с sidecar.istio.io/inject=true), иначе
|
||
# у его запросов нет principal и правило 1 их отклонит.
|
||
apiVersion: security.istio.io/v1
|
||
kind: AuthorizationPolicy
|
||
metadata:
|
||
name: access-collector
|
||
spec:
|
||
selector:
|
||
matchLabels:
|
||
security-audit/collector: access # podLabels HelmRelease access-collector
|
||
action: ALLOW
|
||
rules:
|
||
- from:
|
||
- source:
|
||
principals: ["cluster.local/ns/zitadel/sa/zitadel"] # SA Deployment zitadel-idp-contour
|
||
to:
|
||
- operation: {ports: ["8088"], methods: ["POST"], paths: ["/zitadel/events"]}
|
||
- from:
|
||
- source:
|
||
namespaces: ["istio-system"]
|
||
to:
|
||
- operation: {ports: ["4317"]}
|
||
# Журнал аудита Vault: поды StatefulSet vault-vault-contour в mesh (ns vault, istio-injection=enabled).
|
||
# Если Vault выведут из mesh — principal пропадёт, будет 403, shipper копит очередь на PVC (см. README).
|
||
- from:
|
||
- source:
|
||
principals: ["cluster.local/ns/vault/sa/vault-vault-contour"]
|
||
to:
|
||
- operation: {ports: ["4319"]}
|