IAM-backed ObjectStores generate wildcard Secret RBAC
Los mantenedores suelen responder en 1 día
Evaluación
- Dificultad
- 3/5
- Tiempo estimado
- 1-2 días
- Aptitud para principiantes
- 64/100
- Tipo de issue
- Error
- Claridad
- Bien especificado
- Estado de actividad
- Tranquilo
- Stack tecnológico
- aws, go, kubernetes
- Área
- authorization, backend, security
Línea de trabajo
Empieza por las rutas de generación de Role y recopilación de referencias de credenciales de AWS, y compáralas con el manejo existente de identidades predeterminadas/administradas de Azure. Verifica el caso de herencia de IAM y el caso de un Secret de credenciales explícito, y añade o actualiza las pruebas para que la finalización implique que no haya ninguna regla de Secret para una colección vacía y que haya una regla con ámbito cuando existan nombres de Secret.
Escrito por el modelo de indexación a partir del texto del issue.
Descripción
Summary
When an ObjectStore uses AWS IAM role inheritance (inheritFromIAMRole: true) and does not reference any credential Secrets, the generated <cluster>-barman-cloud Role still contains a secrets rule with no resourceNames.
In Kubernetes RBAC, an omitted or empty resourceNames list does not restrict the rule to no objects; it allows the verbs on all resources of that type. As a result, an IAM-backed barman-cloud instance can get/list/watch every Secret in the namespace even though barman-cloud does not need any Secret for the AWS credential chain.
Why this matters
Deployments using IRSA, pod identity, or IMDS typically set inheritFromIAMRole: true so barman-cloud gets credentials from the pod environment. In that mode, barman-cloud returns before reading AWS credential Secret references, so the plugin should not grant Secret access unless a credential Secret is actually needed.
Expected behavior
If no credential Secret names are collected for the ObjectStores referenced by a cluster, the generated Role should not include a secrets rule. For AWS credentials with inheritFromIAMRole: true, AWS Secret references should be ignored the same way Azure default/managed identity credentials are ignored today.
Actual behavior
The Role includes a secrets rule with an empty resourceNames field, which grants access to all Secrets in the namespace.
Proposed fix
- Skip AWS credential Secret references when
inheritFromIAMRoleis true. - Omit the generated
secretsPolicyRule when the collected Secret name set is empty. - Keep the existing scoped
secretsrule when explicit credential Secret refs are present.
- Lenguaje dominante
- Go
- Estrellas
- 198
- Forks
- 81
- Merge medio
- 2 d 6 h
- PR fusionados (30 d)
- 19
Preparar el entorno
- Sin Dockerfile ni archivo de Docker Compose
- Sin plantilla de pull request
- Leer la guía de contribución
Primeros pasos
- Lee el issue completo y luego la guía de contribución del proyecto.
- Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
- Haz un fork del repositorio y trabaja en una rama.
- Abre un pull request que haga referencia al número del issue.
Más de cloudnative-pg/plugin-barman-cloud
-
Wrong `ObjectStore` key logged when the backup object store can't be retrieved in the instance sidecarPosiblemente ocupada @SamarthSRao la tomó hace 4 días. Abierto
Dificultad 2/5 1-3 horas Aptitud para principiantes 88/100
cloudnative-pg/plugin-barman-cloud#1142 · 1 comentario ·
Los mantenedores suelen responder en 1 día
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 88/100
cloudnative-pg/plugin-barman-cloud#1117 · 1 reacción ·
Los mantenedores suelen responder en 1 día
-
data.compression rejects zstd although barman-cloud-backup supports itPosiblemente ocupada @dgsardina la tomó hace 7 días. Abierto
Dificultad 2/5 1-3 horas Aptitud para principiantes 86/100
cloudnative-pg/plugin-barman-cloud#1104 · 4 reacciones ·
Los mantenedores suelen responder en 1 día
-
Add RBAC aggregation labels to ObjectStore editor/viewer ClusterRolesPosiblemente ocupada @stefanpeknik la tomó hace 25 días. Abierto
Dificultad 1/5 Menos de una hora Aptitud para principiantes 82/100
cloudnative-pg/plugin-barman-cloud#1102 ·
Los mantenedores suelen responder en 1 día
-
Dificultad 5/5 Más de una semana Aptitud para principiantes 18/100
cloudnative-pg/plugin-barman-cloud#1151 ·
Los mantenedores suelen responder en 1 día
Todos los issues de cloudnative-pg/plugin-barman-cloud
Issues similares
-
product/backlog
Dificultad 2/5 1-3 horas Aptitud para principiantes 75/100
TencentBlueKing/bk-nodemgr#3645 ·
Los mantenedores suelen responder en 1 día
-
docs(prompt): filer socket fragment hardcodes an issue-intent cap of 8 that Chore runs overrideAbiertoagent-butler-finding chore
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
jordansmall/spindrift#5128 ·
Los mantenedores suelen responder en 1 día
-
Dificultad 1/5 Menos de una hora Aptitud para principiantes 84/100
Los mantenedores suelen responder en 2 días
-
License GOtome under Apache 2.0 instead of AGPL-3.0Posiblemente ocupada @praetorianer777 la tomó hoy. Abiertoarea:workflow documentation
Dificultad 2/5 1-3 horas Aptitud para principiantes 84/100
praetorianer777/GoTome#212 ·
Los mantenedores suelen responder en 1 día
-
ci: pin Go version in Build and Unit Test workflows (>=1.26.6 floats to 1.27.2 and breaks golangci-lint)Posiblemente ocupada @leninmehedy la tomó hoy. Abierto
Dificultad 2/5 1-3 horas Aptitud para principiantes 87/100
hashgraph/solo-weaver#1255 ·
Los mantenedores suelen responder en 1 día