Security : move away from "cluster-admin" everywhere
Los mantenedores suelen responder en 1 día
Nadie ha tomado este issue todavía.
Evaluación
- Dificultad
- 5/5
- Tiempo estimado
- Más de una semana
- Aptitud para principiantes
- 25/100
- Tipo de issue
- Nueva funcionalidad
- Claridad
- Bastante claro
- Estado de actividad
- Estancado
- Stack tecnológico
- helm, java, kubernetes
- Área
- authorization, infrastructure, security
Línea de trabajo
Comienza rastreando las rutas de Onyxia-api que realizan llamadas a kubectl y helm, así como el flujo de onboarding que crea namespaces, permisos y cuentas de servicio. Mapea primero la dependencia actual de cluster-admin; se considera terminado cuando el onboarding utiliza una identidad separada y los permisos necesarios se han reducido o definido con mayor precisión de forma explícita.
Escrito por el modelo de indexación a partir del texto del issue.
Descripción
Currently, Onyxia-api do everything (both kubectl and helm) using a single service account that is supposed to be cluster-admin.
Here are some improvements we could make :
- Every regular
kubectlandhelmcalls should be made using user's permissions - Onboarding (creating user's namespace, applying permissions ...) should be done using a separate service account and preferably done in another process / pod (externalize the onboarding process as a standalone API ?)
- Try to reduce or at least refine and explicit permissions needed for the onboarding feature. Currently, it defaults to creating a cluster-admin service account which is probably too much
- Lenguaje dominante
- Java
- Estrellas
- 34
- Forks
- 34
- Merge medio
- 1 d 5 h
- PR fusionados (30 d)
- 15
Preparar el entorno
Este proyecto no incluye contenedor de desarrollo, Dockerfile ni guía de contribución, así que la configuración corre por tu cuenta: empieza por su README y consulta nuestra guía para la primera contribución para los pasos generales.
Primeros pasos
- Lee el issue completo y luego la guía de contribución del proyecto.
- Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
- Haz un fork del repositorio y trabaja en una rama.
- Abre un pull request que haga referencia al número del issue.
Más de InseeFrLab/onyxia-api
-
Dificultad 4/5 3-5 días Aptitud para principiantes 43/100
InseeFrLab/onyxia-api#689 ·
Los mantenedores suelen responder en 1 día
-
Dificultad 3/5 1-2 días Aptitud para principiantes 74/100
InseeFrLab/onyxia-api#669 ·
Los mantenedores suelen responder en 1 día
-
helmwrapper issue with rootless env : try to create /.cacheQuizá libre de nuevo @olevitt la tomó hace 346 días y no hay ningún pull request abierto. Abierto
InseeFrLab/onyxia-api#638 · 5 comentarios · 1 asignado ·
Los mantenedores suelen responder en 1 día
-
Dificultad 3/5 1-2 días Aptitud para principiantes 38/100
InseeFrLab/onyxia-api#612 · 3 comentarios ·
Los mantenedores suelen responder en 1 día
-
Dificultad 4/5 3-5 días Aptitud para principiantes 35/100
InseeFrLab/onyxia-api#586 · 1 comentario ·
Los mantenedores suelen responder en 1 día
Todos los issues de InseeFrLab/onyxia-api
Issues similares
-
Type: Bug
Dificultad 2/5 1-3 horas Aptitud para principiantes 76/100
Los mantenedores suelen responder en 1 día
-
MCP add-on: JSON responses with non-ASCII characters are truncated (wrong Content-Length)Posiblemente ocupada @dhanushbs10 la tomó hoy. Abiertoadd-on bug in:mcp
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
Los mantenedores suelen responder en 1 día
-
Map.Coordinate does not implement proper equalsPosiblemente ocupada Un pull request vinculado a esta issue está abierto o ya se fusionó. Abiertovaadin-map
Dificultad 2/5 1-3 horas Aptitud para principiantes 70/100
vaadin/flow-components#10586 ·
Los mantenedores suelen responder en 1 día
-
WeReadInstaller writes the launcher database on the main thread at handover (Activity pause timeout)Abiertobug good first issue
Dificultad 2/5 1-3 horas Aptitud para principiantes 70/100
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 63/100
wpilibsuite/SystemcoreTesting#446 ·
Los mantenedores suelen responder en 1 día