---
# -------------------------------------------------------------------
# 3. Ingress externe autorisé : uniquement depuis le Traefik partagé
#    (aucune autre démo, aucun autre client, ne peut ouvrir de connexion
#    directe vers les pods de cette démo).
# -------------------------------------------------------------------
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-ingress-from-traefik
spec:
  podSelector: {}
  policyTypes:
    - Ingress
  ingress:
    - from:
        - namespaceSelector:
            matchLabels:
              kubernetes.io/metadata.name: {{ .Values.traefikNamespace }}