envoyproxy/envoy

RBAC policy for unix socket peer uid/gid

Open

#6.193 geöffnet am 6. März 2019

Auf GitHub ansehen
 (2 Kommentare) (0 Reaktionen) (1 zugewiesene Person)C++ (5.373 Forks)batch import
area/rbacdesign proposalhelp wanted

Repository-Metriken

Stars
 (27.997 Stars)
PR-Merge-Metriken
 (Durchschn. Merge 8T) (378 gemergte PRs in 30 T)

Beschreibung

It would be nice to be able to specify a RBAC policy based on the UID or GID of the downstream connection when it's coming through a unix socket.

This would involve exposing the UID/GID on the Connection if applicable. This would be done by using SO_PEERCRED to get the peer credentials from the socket.

A RBAC policy would then be added to read this data.

The use case we have in mind here is restricting certain routes to be available only to users that can assume a specific unix group.

Contributor Guide

Research-Richtung
Untersuchen Sie, wie Envoy derzeit Unix Socket Verbindungen verarbeitet und Verbindungsmetadaten extrahiert. Studieren Sie die Implementierung des RBAC Filters, um zu verstehen, wo die Peer Zugangsdaten extrahiert werden können. Implementieren Sie `SO PEERCRED` im Verbindungshandling Code und legen Sie uid/gid im Connection Objekt offen. Erweitern Sie dann die RBAC Richtlinie, um einen Abgleich dieser Felder zu ermöglichen.
Tech Stack
cpp
Domain
backendsecurity
Issue Type
Funktion
SchwierigkeitGeschätzte Implementierungsschwierigkeit für neue Contributors, von 1 für sehr kleine Änderungen bis 5 für Expertenarbeit.
3
Geschätzte ZeitEin grober Zeitrahmen, um zu recherchieren, zu implementieren, zu testen und einen Pull Request vorzubereiten.
1-2 Tage
AktivitätsstatusWie verfügbar das Issue gerade wirkt: frisch, aktiv, stale, blockiert oder wartet auf Maintainer-Input.
Aktiv
KlarheitWie klar das Issue die erwartete Änderung, Akzeptanzkriterien und den nächsten Schritt erklärt.
Klar
Voraussetzungen
C++Unix socket programming
EinsteigerfreundlichkeitEin Score von 1 bis 100, der schätzt, wie zugänglich dieses Issue für First-Time Contributors ist.
35