kubernetes-sigs/cluster-api

Minimize RBAC roles for controllers

Offen

#6.554 geöffnet am 26.05.2022

Auf GitHub ansehenContributor Guide
 (14 Kommentare) (1 Reaktion) (1 zugewiesene Person)Go (1.532 Forks)auto 404
help wantedkind/cleanuppriority/important-longtermtriage/accepted

Repository-Metriken

Stars
 (4.267 Sterne)
PR-Merge-Metriken
 (PR-Metriken ausstehend)

Beschreibung

Following on from #https://github.com/kubernetes-sigs/cluster-api/pull/6510#discussion_r882538225

In Cluster API today we create RBAC manifests which are generated using kubebuilder tools. e.g.

https://github.com/kubernetes-sigs/cluster-api/blob/626ab4de03ef1e8f9b68e12bbfaf75e2cb0b4ffc/internal/controllers/clusterclass/clusterclass_controller.go#L42-L44

Many of our controllers seem to generate overly broad RBAC for themselves. e.g. many have the create verb when it is not used. Removing these roles should have no impact on functitonality, minimize the capabilities of our controllers from a security perspective, and make our RBAC manifests more descriptive about what our controllers are actually doing.

We should audit the following controllers to minimize their RBAC roles:

  • MachineHealthCheck
  • Machinepool
  • KubeadmConfig
  • ClusterResourceSet
  • Cluster
  • Machine
  • MachineDeployment
  • MachineSet
  • Topology/Cluster
  • ClusterClass

Contributor Guide

Research-Richtung
Überprüfen Sie die RBAC Marker jedes aufgeführten Controllers im Codebase. Identifizieren Sie für jeden Controller die RBAC Berechtigungen (insbesondere die Verben create, update, delete) und vergleichen Sie sie mit der tatsächlichen Nutzung. Entfernen Sie alle unnötigen Berechtigungen. Verwenden Sie die kubebuilder Annotationen, um die RBAC Manifeste zu ändern.
Tech Stack
go
Domain
backendsecurity
Issue Type
Wartung
SchwierigkeitGeschätzte Implementierungsschwierigkeit für neue Contributors, von 1 für sehr kleine Änderungen bis 5 für Expertenarbeit.
2
Geschätzte ZeitEin grober Zeitrahmen, um zu recherchieren, zu implementieren, zu testen und einen Pull Request vorzubereiten.
3-5 Tage
AktivitätsstatusWie verfügbar das Issue gerade wirkt: frisch, aktiv, stale, blockiert oder wartet auf Maintainer-Input.
Aktiv
KlarheitWie klar das Issue die erwartete Änderung, Akzeptanzkriterien und den nächsten Schritt erklärt.
Klar
Voraussetzungen
GoKubernetes RBACGit
EinsteigerfreundlichkeitEin Score von 1 bis 100, der schätzt, wie zugänglich dieses Issue für First-Time Contributors ist.
65