xds: RBAC `Authenticated` principal without `principal_name` is rejected ("Unknown StringMatcher match pattern: MATCHPATTERN_NOT_SET")

Maintainer antworten meist innerhalb von 1 Tag

Bewertung

Rechercherichtung

Beschreibung

  private static AuthenticatedMatcher parseAuthenticatedMatcher(
          Principal.Authenticated proto) {
    Matchers.StringMatcher matcher = MatcherParser.parseStringMatcher(proto.getPrincipalName());
    return AuthenticatedMatcher.create(matcher);
  }

/*
 * Copyright 2021 The gRPC Authors
 *
 * Licensed under the Apache License, Version 2.0 (the "License");
 * you may not use this file except in compliance with the License.
 * You may obtain a copy of the License at
 *
 *     http://www.apache.org/licenses/LICENSE-2.0
 *
 * Unless required by applicable law or agreed to in writing, software
 * distributed under the License is distributed on an "AS IS" BASIS,
 * WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
 * See the License for the specific language governing permissions and
 * limitations under the License.
 */

package io.grpc.xds;

import static com.google.common.truth.Truth.assertThat;
import static org.mockito.Mockito.mock;
import static org.mockito.Mockito.when;

import io.envoyproxy.envoy.config.rbac.v3.Permission;
import io.envoyproxy.envoy.config.rbac.v3.Policy;
import io.envoyproxy.envoy.config.rbac.v3.Principal;
import io.envoyproxy.envoy.config.rbac.v3.Principal.Authenticated;
import io.envoyproxy.envoy.config.rbac.v3.RBAC;
import io.envoyproxy.envoy.config.rbac.v3.RBAC.Action;
import io.grpc.Attributes;
import io.grpc.Grpc;
import io.grpc.Metadata;
import io.grpc.MethodDescriptor;
import io.grpc.MethodDescriptor.MethodType;
import io.grpc.ServerCall;
import io.grpc.testing.TestMethodDescriptors;
import io.grpc.xds.internal.rbac.engine.GrpcAuthorizationEngine;
import io.grpc.xds.internal.rbac.engine.GrpcAuthorizationEngine.AuthDecision;
import java.security.cert.X509Certificate;
import java.util.Arrays;
import java.util.Collections;
import java.util.List;
import javax.net.ssl.SSLSession;
import org.junit.Test;
import org.junit.runner.RunWith;
import org.junit.runners.JUnit4;

/**
 * Tests for {@link RbacFilter} authenticated matcher with unset PrincipalName.
 */
@RunWith(JUnit4.class)
public class RbacFilterAuthenticatedMatcherTest {

  private static final RbacFilter.Provider FILTER_PROVIDER = new RbacFilter.Provider();

  /**
   * Per the RBAC spec, an Authenticated principal with no PrincipalName set should match
   * any authenticated user (i.e. any connection with a valid TLS certificate).
   * This test verifies that parsing such a configuration succeeds.
   */
  @Test
  public void authenticatedMatcherWithoutPrincipalName_shouldParseSuccessfully() {
    // Create an Authenticated principal without setting PrincipalName.
    // Per the RBAC spec: "If unset, it applies to any user that is authenticated."
    List<Permission> permissionList = Arrays.asList(
        Permission.newBuilder().setAny(true).build());
    List<Principal> principalList = Arrays.asList(
        Principal.newBuilder().setAuthenticated(
            Authenticated.newBuilder().build()).build());

    io.envoyproxy.envoy.extensions.filters.http.rbac.v3.RBAC rbac =
        io.envoyproxy.envoy.extensions.filters.http.rbac.v3.RBAC.newBuilder()
            .setRules(RBAC.newBuilder().setAction(Action.ALLOW)
                .putPolicies("any-authenticated-user",
                    Policy.newBuilder()
                        .addAllPermissions(permissionList)
                        .addAllPrincipals(principalList).build())
                .build())
            .build();

    ConfigOrError<RbacConfig> result = RbacFilter.Provider.parseRbacConfig(rbac);
    // The config should parse successfully without error.
    assertThat(result.errorDetail).isNull();
    assertThat(result.config).isNotNull();
    assertThat(result.config.authConfig()).isNotNull();
  }

  /**
   * An Authenticated principal with no PrincipalName should match any authenticated
   * connection (one with an SSL session and peer certificates).
   */
  @Test
  @SuppressWarnings("unchecked")
  public void authenticatedMatcherWithoutPrincipalName_shouldMatchAuthenticatedConnection()
      throws Exception {
    List<Permission> permissionList = Arrays.asList(
        Permission.newBuilder().setAny(true).build());
    List<Principal> principalList = Arrays.asList(
        Principal.newBuilder().setAuthenticated(
            Authenticated.newBuilder().build()).build());

    io.envoyproxy.envoy.extensions.filters.http.rbac.v3.RBAC rbac =
        io.envoyproxy.envoy.extensions.filters.http.rbac.v3.RBAC.newBuilder()
            .setRules(RBAC.newBuilder().setAction(Action.ALLOW)
                .putPolicies("any-authenticated-user",
                    Policy.newBuilder()
                        .addAllPermissions(permissionList)
                        .addAllPrincipals(principalList).build())
                .build())
            .build();

    ConfigOrError<RbacConfig> result = RbacFilter.Provider.parseRbacConfig(rbac);
    // Parsing must succeed first.
    assertThat(result.errorDetail).isNull();

    // Set up an authenticated connection with a mock SSL session and certificate.
    SSLSession sslSession = mock(SSLSession.class);
    X509Certificate mockCert = mock(X509Certificate.class);
    when(sslSession.getPeerCertificates()).thenReturn(new X509Certificate[]{mockCert});
    when(mockCert.getSubjectAlternativeNames()).thenReturn(
        Collections.<List<?>>singletonList(Arrays.asList(6, "spiffe://example.com/service")));

    ServerCall<Void, Void> serverCall = mock(ServerCall.class);
    Attributes attributes = Attributes.newBuilder()
        .set(Grpc.TRANSPORT_ATTR_SSL_SESSION, sslSession)
        .build();
    when(serverCall.getAttributes()).thenReturn(attributes);
    when(serverCall.getMethodDescriptor()).thenReturn(
        MethodDescriptor.<Void, Void>newBuilder()
            .setType(MethodType.BIDI_STREAMING)
            .setFullMethodName("test/method")
            .setRequestMarshaller(TestMethodDescriptors.voidMarshaller())
            .setResponseMarshaller(TestMethodDescriptors.voidMarshaller())
            .build());

    GrpcAuthorizationEngine engine =
        new GrpcAuthorizationEngine(result.config.authConfig());
    AuthDecision decision = engine.evaluate(new Metadata(), serverCall);
    // An authenticated connection should be allowed by this policy.
    assertThat(decision.decision()).isEqualTo(GrpcAuthorizationEngine.Action.ALLOW);
  }
}

RbacFilterAuthenticatedMatcherTest > authenticatedMatcherWithoutPrincipalName_shouldMatchAuthenticatedConnection FAILED
    expected: null
    but was : Encountered error parsing policy: java.lang.IllegalArgumentException: Unknown StringMatcher match pattern: MATCHPATTERN_NOT_SET
        at app//io.grpc.xds.RbacFilterAuthenticatedMatcherTest.authenticatedMatcherWithoutPrincipalName_shouldMatchAuthenticatedConnection(RbacFilterAuthenticatedMatcherTest.java:113)

RbacFilterAuthenticatedMatcherTest > authenticatedMatcherWithoutPrincipalName_shouldParseSuccessfully FAILED
    expected: null
    but was : Encountered error parsing policy: java.lang.IllegalArgumentException: Unknown StringMatcher match pattern: MATCHPATTERN_NOT_SET
        at app//io.grpc.xds.RbacFilterAuthenticatedMatcherTest.authenticatedMatcherWithoutPrincipalName_shouldParseSuccessfully(RbacFilterAuthenticatedMatcherTest.java:82)

--- a/internal/xds/rbac/matchers.go
+++ b/internal/xds/rbac/matchers.go
@@ -361,26 +361,56 @@ func newPortMatcher(destinationPort uint32) *portMatcher {
...
 type authenticatedMatcher struct {
-	stringMatcher internalmatcher.StringMatcher
+	stringMatcher *internalmatcher.StringMatcher
 }
 
 func newAuthenticatedMatcher(authenticatedMatcherConfig *v3rbacpb.Principal_Authenticated) (*authenticatedMatcher, error) {
+	// Represents this line in the RBAC documentation = "If unset, it applies to
+	// any user that is authenticated" (see package-level comments).
+	if authenticatedMatcherConfig.PrincipalName == nil {
+		return &authenticatedMatcher{}, nil
+	}
 	stringMatcher, err := internalmatcher.StringMatcherFromProto(authenticatedMatcherConfig.PrincipalName)
 	if err != nil {
 		return nil, err
 	}
-	return &authenticatedMatcher{stringMatcher: stringMatcher}, nil
+	return &authenticatedMatcher{stringMatcher: &stringMatcher}, nil
 }
 
...
+	if am.stringMatcher == nil {
+		return len(data.certs) != 0
+	}
...

diff --git a/xds/src/main/java/io/grpc/xds/RbacFilter.java b/xds/src/main/java/io/grpc/xds/RbacFilter.java
--- a/xds/src/main/java/io/grpc/xds/RbacFilter.java
+++ b/xds/src/main/java/io/grpc/xds/RbacFilter.java
@@ -334,6 +334,10 @@ final class RbacFilter implements Filter {
 
   private static AuthenticatedMatcher parseAuthenticatedMatcher(
           Principal.Authenticated proto) {
+    // An unset principal_name matches any authenticated (TLS) connection.
+    if (!proto.hasPrincipalName()) {
+      return AuthenticatedMatcher.create(null);
+    }
     Matchers.StringMatcher matcher = MatcherParser.parseStringMatcher(proto.getPrincipalName());
     return AuthenticatedMatcher.create(matcher);
   }

Entwicklungsumgebung

Erste Schritte

1. Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
2. Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
3. Forken Sie das Repository und arbeiten Sie in einem Branch.
4. Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus grpc/grpc-java

• alts: AuthorizationUtil.clientAuthorizationCheck compares the peer service account case-sensitively

  Offen

  ⋯Ein Problem mit diesem Issue melden

  • Stimmt etwas nicht?

  • Bereits vergeben
  • Nicht einsteigerfreundlich
  • Veraltet oder ungültig
  • Etwas anderes …
  • Senden Abbrechen

  Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 85/100

  grpc/grpc-java#13156 · Erstellt am 31.10.2026

  Maintainer antworten meist innerhalb von 1 Tag

• Binary log config: `-service/*` exclusion is accepted and silently turned into a per-service rule, so the service is still logged

  Offen

  ⋯Ein Problem mit diesem Issue melden

  • Stimmt etwas nicht?

  • Bereits vergeben
  • Nicht einsteigerfreundlich
  • Veraltet oder ungültig
  • Etwas anderes …
  • Senden Abbrechen

  Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 82/100

  grpc/grpc-java#13155 · Erstellt am 31.10.2026

  Maintainer antworten meist innerhalb von 1 Tag

• SpiffeUtil.loadTrustBundleFromFile accepts invalid trust domain names (e.g. `UPPER.example.com`, `invalid#character`) as bundle map keys

  Offen

  ⋯Ein Problem mit diesem Issue melden

  • Stimmt etwas nicht?

  • Bereits vergeben
  • Nicht einsteigerfreundlich
  • Veraltet oder ungültig
  • Etwas anderes …
  • Senden Abbrechen

  Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 82/100

  grpc/grpc-java#13154 · Erstellt am 31.10.2026

  Maintainer antworten meist innerhalb von 1 Tag

• xds: EDS resource is not NACKed when locality weights at one priority sum to more than uint32 max

  Offen

  ⋯Ein Problem mit diesem Issue melden

  • Stimmt etwas nicht?

  • Bereits vergeben
  • Nicht einsteigerfreundlich
  • Veraltet oder ungültig
  • Etwas anderes …
  • Senden Abbrechen

  Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 72/100

  grpc/grpc-java#13153 · Erstellt am 31.10.2026

  Maintainer antworten meist innerhalb von 1 Tag

• okhttp: OkHttpServerTransport logs a WARNING with EOFException for every TCP connection that closes before sending the HTTP/2 preface (e.g. load balancer health checks)

  Evtl. vergeben Ein verknüpfter Pull Request ist offen oder bereits gemergt. Offen

  ⋯Ein Problem mit diesem Issue melden

  • Stimmt etwas nicht?

  • Bereits vergeben
  • Nicht einsteigerfreundlich
  • Veraltet oder ungültig
  • Etwas anderes …
  • Senden Abbrechen

  Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 78/100

  grpc/grpc-java#13152 · Erstellt am 31.10.2026

  Maintainer antworten meist innerhalb von 1 Tag

Alle Issues in grpc/grpc-java

Ähnliche Issues

• [ADVANCEMENT BINGO] Emerald Hoarder Change

  Offen

  ⋯Ein Problem mit diesem Issue melden

  • Stimmt etwas nicht?

  • Bereits vergeben
  • Nicht einsteigerfreundlich
  • Veraltet oder ungültig
  • Etwas anderes …
  • Senden Abbrechen

  Schwierigkeit 2/5 Unter einer Stunde Anfängerfreundlichkeit 70/100

  Vakore/ZappierGames#248 · Erstellt am 03.11.2026

• Metrics Endpoint supports lowcase url

  Offen

  ⋯Ein Problem mit diesem Issue melden

  • Stimmt etwas nicht?

  • Bereits vergeben
  • Nicht einsteigerfreundlich
  • Veraltet oder ungültig
  • Etwas anderes …
  • Senden Abbrechen

  Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 66/100

  thelastpickle/cassandra-reaper#1748 · Erstellt am 03.11.2026

  Maintainer antworten meist innerhalb von 1 Tag

• TestUtils.assertEventually(code, timeout, exceptionTypes) never retries an AssertionError

  Offen

  ⋯Ein Problem mit diesem Issue melden

  • Stimmt etwas nicht?

  • Bereits vergeben
  • Nicht einsteigerfreundlich
  • Veraltet oder ungültig
  • Etwas anderes …
  • Senden Abbrechen

  Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 72/100

  questdb/questdb#8188 · Erstellt am 02.11.2026

  Maintainer antworten meist innerhalb von 3 Tagen

• A proxy that fails to start logs a RejectedExecutionException stack trace from its shutdown hook

  Offen

  ⋯Ein Problem mit diesem Issue melden

  • Stimmt etwas nicht?

  • Bereits vergeben
  • Nicht einsteigerfreundlich
  • Veraltet oder ungültig
  • Etwas anderes …
  • Senden Abbrechen
  follow-up

  Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 62/100

  Sanne/incus-spawn#1953 · Erstellt am 02.11.2026

  Maintainer antworten meist innerhalb von 1 Tag

• Document time=0 on the arrival endpoints

  Offen

  ⋯Ein Problem mit diesem Issue melden

  • Stimmt etwas nicht?

  • Bereits vergeben
  • Nicht einsteigerfreundlich
  • Veraltet oder ungültig
  • Etwas anderes …
  • Senden Abbrechen

  Schwierigkeit 1/5 Unter einer Stunde Anfängerfreundlichkeit 72/100

  OneBusAway/maglev#1917 · 1 Kommentar · Erstellt am 02.11.2026

  Maintainer antworten meist innerhalb von 3 Tagen

Weitere Issues zu Java