# REGISTRY_ONLY — "등록 안 된 외부는 차단"을 ns 스코프로 켠다.
#
#  meshConfig.outboundTrafficPolicy(전역)가 아니라 Sidecar 리소스로 lab-apps에만
#  적용하는 이유: 공유 테스트 클러스터에서 전역 REGISTRY_ONLY는 다른 팀 워크로드의
#  외부 호출을 일괄 차단해 버린다. blast radius를 랩 ns로 한정하는 게 이 랩의 규율.
#
#  기대 동작(적용 후):
#   - api.lab.external     → SE 등록됨 → 정상 (egressgateway 경유)
#   - blocked.lab.external → DNS는 되지만 SE 없음 → sidecar가 차단
#     (L4/SNI 경로라 connection reset으로 나타남 — HTTP 502가 아니다)
#
#  이 파일을 지우면(delete) ns가 ALLOW_ANY로 돌아가 blocked.lab.external이 뚫린다 —
#  차단이 "이 설정 때문"임을 양방향으로 확인하는 데 쓴다.
apiVersion: networking.istio.io/v1beta1
kind: Sidecar
metadata:
  name: default
  namespace: lab-apps
spec:
  outboundTrafficPolicy:
    mode: REGISTRY_ONLY