Security : run helm installs / upgrades / uninstalls as a service account local to the target namespace
Los mantenedores suelen responder en 1 día
Evaluación
- Dificultad
- 5/5
- Tiempo estimado
- Más de una semana
- Aptitud para principiantes
- 35/100
- Tipo de issue
- Nueva funcionalidad
- Claridad
- Bastante claro
- Estado de actividad
- Activo
- Stack tecnológico
- helm, java, kubernetes
- Área
- infrastructure, security
Línea de trabajo
Start with the authenticationMode definition in Region.java and trace how Helm install, upgrade, and uninstall operations select credentials. Then inspect the onboarding flow that creates namespaces and their service accounts and role bindings. Done means a namespace-local service account mode is supported for sensitive Helm operations and onboarding provisions the required access; the issue leaves the mode name open for discussion.
Escrito por el modelo de indexación a partir del texto del issue.
Descripción
Currently, using the default mode (authenticationMode: serviceAccount, see https://github.com/InseeFrLab/onyxia-api/blob/2019ff5941a35989215e74216927a35fd69b2126/onyxia-model/src/main/java/fr/insee/onyxia/model/region/Region.java#L354), Onyxia executes helm installs / upgrades / uninstalls using it's own powerful service account.
This can be a security issue if the helm chart is compromised (or there is a flaw allowing injection).
We could add another mode, namespaceLocalServiceAccount (name to be discussed) that would execute sensitive helm operations (those that use user provided values) using a serviceaccount present in the target namespace.
Note that this would require the onboarding to create local serviceaccount (with corresponding rolebinding) in the namespace at the time of creation
- Lenguaje dominante
- Java
- Estrellas
- 34
- Forks
- 34
- Merge medio
- 1 d 5 h
- PR fusionados (30 d)
- 15
Preparar el entorno
Este proyecto no incluye contenedor de desarrollo, Dockerfile ni guía de contribución, así que la configuración corre por tu cuenta: empieza por su README y consulta nuestra guía para la primera contribución para los pasos generales.
Primeros pasos
- Lee el issue completo y luego la guía de contribución del proyecto.
- Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
- Haz un fork del repositorio y trabaja en una rama.
- Abre un pull request que haga referencia al número del issue.
Más de InseeFrLab/onyxia-api
-
Dificultad 4/5 3-5 días Aptitud para principiantes 43/100
InseeFrLab/onyxia-api#689 ·
Los mantenedores suelen responder en 1 día
-
Dificultad 3/5 1-2 días Aptitud para principiantes 74/100
InseeFrLab/onyxia-api#669 ·
Los mantenedores suelen responder en 1 día
-
helmwrapper issue with rootless env : try to create /.cacheQuizá libre de nuevo @olevitt la tomó hace 347 días y no hay ningún pull request abierto. Abierto
InseeFrLab/onyxia-api#638 · 5 comentarios · 1 asignado ·
Los mantenedores suelen responder en 1 día
-
Dificultad 3/5 1-2 días Aptitud para principiantes 38/100
InseeFrLab/onyxia-api#612 · 3 comentarios ·
Los mantenedores suelen responder en 1 día
-
Dificultad 4/5 3-5 días Aptitud para principiantes 35/100
InseeFrLab/onyxia-api#586 · 1 comentario ·
Los mantenedores suelen responder en 1 día
Todos los issues de InseeFrLab/onyxia-api
Issues similares
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
scylladb/scylla-cdc-source-connector#402 ·
Los mantenedores suelen responder en 1 día
-
enhancement
Dificultad 2/5 1-3 horas Aptitud para principiantes 74/100
Los mantenedores suelen responder en 1 día
-
Some walls missing from researchAbiertobug
Dificultad 2/5 1-3 horas Aptitud para principiantes 64/100
Los mantenedores suelen responder en 1 día
-
enhancement good first issue
Dificultad 2/5 1-3 horas Aptitud para principiantes 72/100
ahmedmmordi/store-app#8 ·
-
jhipster heroku fails on heroku git:remote when reusing an existing app outside a git repositoryAbiertoarea: triage theme: undefined
Dificultad 2/5 1-3 horas Aptitud para principiantes 76/100
jhipster/generator-jhipster#36018 ·
Los mantenedores suelen responder en 1 día