Security : move away from "cluster-admin" everywhere
Les mainteneurs répondent en général sous 1 jour
Personne n'a encore pris cette issue.
Évaluation
- Difficulté
- 5/5
- Temps estimé
- Plus d'une semaine
- Accessibilité débutants
- 25/100
- Type d'issue
- Fonctionnalité
- Clarté
- Plutôt claire
- Activité
- À l'abandon
- Stack technique
- helm, java, kubernetes
- Domaine
- authorization, infrastructure, security
Piste de recherche
Commencez par suivre les chemins de Onyxia-api qui effectuent des appels à kubectl et helm, ainsi que le flux d’onboarding qui crée des namespaces, des permissions et des comptes de service. Cartographiez d’abord la dépendance actuelle à cluster-admin ; le travail est terminé lorsque l’onboarding utilise une identité distincte et que les permissions requises sont explicitement réduites ou précisées.
Rédigé par le modèle d'indexation à partir du texte de l'issue.
Description
Currently, Onyxia-api do everything (both kubectl and helm) using a single service account that is supposed to be cluster-admin.
Here are some improvements we could make :
- Every regular
kubectlandhelmcalls should be made using user's permissions - Onboarding (creating user's namespace, applying permissions ...) should be done using a separate service account and preferably done in another process / pod (externalize the onboarding process as a standalone API ?)
- Try to reduce or at least refine and explicit permissions needed for the onboarding feature. Currently, it defaults to creating a cluster-admin service account which is probably too much
- Langage dominant
- Java
- Étoiles
- 34
- Forks
- 34
- Merge moyen
- 1 j 5 h
- PR mergées (30 j)
- 15
Préparer son environnement
Ce projet ne fournit ni conteneur de développement, ni Dockerfile, ni guide de contribution : l'installation est à votre charge. Commencez par son README, et consultez notre guide de la première contribution pour les étapes générales.
Par où commencer
- Lisez l'issue en entier, puis le guide de contribution du projet.
- Signalez en commentaire que vous la prenez — cela évite que deux personnes fassent le même travail.
- Forkez le dépôt et travaillez sur une branche.
- Ouvrez une pull request qui référence le numéro de l'issue.
Autres issues de InseeFrLab/onyxia-api
-
Difficulté 4/5 3-5 jours Accessibilité débutants 43/100
InseeFrLab/onyxia-api#689 ·
Les mainteneurs répondent en général sous 1 jour
-
Difficulté 3/5 1-2 jours Accessibilité débutants 74/100
InseeFrLab/onyxia-api#669 ·
Les mainteneurs répondent en général sous 1 jour
-
helmwrapper issue with rootless env : try to create /.cachePeut-être à nouveau libre @olevitt l’a pris il y a 350 jours, et aucune pull request n’est ouverte. Ouverte
InseeFrLab/onyxia-api#638 · 5 commentaires · 1 personne assignée ·
Les mainteneurs répondent en général sous 1 jour
-
Difficulté 3/5 1-2 jours Accessibilité débutants 38/100
InseeFrLab/onyxia-api#612 · 3 commentaires ·
Les mainteneurs répondent en général sous 1 jour
-
Difficulté 4/5 3-5 jours Accessibilité débutants 35/100
InseeFrLab/onyxia-api#586 · 1 commentaire ·
Les mainteneurs répondent en général sous 1 jour
Toutes les issues de InseeFrLab/onyxia-api
Issues similaires
-
Document and enforce pull request review guidelinesPeut-être pris @dashorst l’a pris aujourd’hui. Ouverte
Difficulté 2/5 1-3 heures Accessibilité débutants 76/100
Les mainteneurs répondent en général sous 1 jour
-
`Time.at(t, in: nil)` returns UTC instead of the local time (or the time zone of `t`), unlike CRubyOuverte
Difficulté 2/5 1-3 heures Accessibilité débutants 78/100
Les mainteneurs répondent en général sous 1 jour
-
hermes-queue
Difficulté 1/5 Moins d'une heure Accessibilité débutants 72/100
chrisalunlloyd2-sudo/mindpalace#349 ·
Les mainteneurs répondent en général sous 1 jour
-
Retry-After parser accepts invalid delay-seconds valuesPeut-être pris @Dhruvraj-Rana l’a pris aujourd’hui. OuverteBug
Difficulté 2/5 1-3 heures Accessibilité débutants 82/100
open-telemetry/opentelemetry-java#9018 ·
Les mainteneurs répondent en général sous 2 jours
-
dropwizard-testing: DAOTest.inTransaction leaves the transaction open when an Error is thrownOuverte
Difficulté 2/5 1-3 heures Accessibilité débutants 72/100
dropwizard/dropwizard#11410 ·
Les mainteneurs répondent en général sous 1 jour