Support isolated rootless builder jobs on Kind without relaxing worker security
Personne n'a encore pris cette issue.
Évaluation
- Difficulté
- 5/5
- Temps estimé
- Plus d'une semaine
- Accessibilité débutants
- 8/100
- Type d'issue
- Bug
- Clarté
- À clarifier
- Activité
- Active
- Stack technique
- docker, kubernetes, linux
- Domaine
- devops, infrastructure, security
Piste de recherche
The payload names no repository files, so start from the reproduction: a minimal BusyBox pod with hostUsers: false on Kind 0.30.0 that fails with the sysfs mount error. Read the linked kind issue #3436 and the two backport PRs to see what is already decided. Done means a valid build completes and pushes to the lab registry while the worker security settings stay enabled, which requires maintainer design input first.
Rédigé par le modèle d'indexation à partir du texte de l'issue.
Description
The 0.9.0 builder security backport retains Kubernetes user namespaces (hostUsers: false), a non-privileged rootless worker, no service-account token and the BuildKit process sandbox. Kind must support legitimate builds without disabling those protections.
In an isolated lab with Kind 0.30.0, Kubernetes 1.33.1, containerd 2.1.1 and Linux 6.8.0-146, a valid build is accepted but fails before the worker starts: mounting sysfs ... operation not permitted. A minimal BusyBox pod with hostUsers: false reproduces it; the equivalent ordinary pod succeeds.
Related upstream investigation: https://github.com/kubernetes-sigs/kind/issues/3436.
An initial read-only sysfs mount inside the Kind node clears the sandbox mount failure and exposes a second error: /kind/bin/mount-product-files.sh: permission denied; the node's /kind directory is mode 0644. This is still under test, not a completed compatibility fix.
Acceptance: a valid base-image and dependency build completes and pushes to the authenticated lab registry; the resulting image can run an action; malformed and cross-tenant targets remain rejected; worker user namespaces, non-privileged mode, token exclusion and process sandbox remain enabled. Node setup must be repeatable and survive node restart without granting workers access to the host Docker socket or host paths.
Related security backports:
- Langage dominant
- Python
- Étoiles
- 577
- Forks
- 29
- Merge moyen
- 3 j 39 min
- PR mergées (30 j)
- 5
Préparer son environnement
- Aucun Dockerfile ni fichier Docker Compose
- Propose un modèle de pull request
- Lire le guide de contribution
Par où commencer
- Lisez l'issue en entier, puis le guide de contribution du projet.
- Signalez en commentaire que vous la prenez — cela évite que deux personnes fassent le même travail.
- Forkez le dépôt et travaillez sur une branche.
- Ouvrez une pull request qui référence le numéro de l'issue.
Autres issues de apache/openserverless
-
Difficulté 2/5 1-3 heures Accessibilité débutants 85/100
apache/openserverless#269 ·
-
Difficulté 2/5 1-3 heures Accessibilité débutants 84/100
apache/openserverless#267 ·
-
Difficulté 4/5 1-2 jours Accessibilité débutants 42/100
apache/openserverless#271 · 7 commentaires ·
-
Difficulté 5/5 Plus d'une semaine Accessibilité débutants 35/100
apache/openserverless#268 ·
-
enhancement
Difficulté 5/5 Plus d'une semaine Accessibilité débutants 25/100
apache/openserverless#215 ·
Toutes les issues de apache/openserverless
Issues similaires
-
Issue Triage-Needed
Difficulté 2/5 1-3 heures Accessibilité débutants 68/100
pulp/pulp_container#2581 ·
Les mainteneurs répondent en général sous 1 jour
-
Difficulté 1/5 Moins d'une heure Accessibilité débutants 85/100
521xueweihan/HelloGitHub#4040 ·
-
bug
Difficulté 2/5 1-3 heures Accessibilité débutants 64/100
ClanGenOfficial/clangen#6313 ·
Les mainteneurs répondent en général sous 2 jours
-
bug
Difficulté 2/5 1-3 heures Accessibilité débutants 84/100
Les mainteneurs répondent en général sous 1 jour
-
bug(trainer): CustomTrainer func_args with non literal values fail inside the TrainJobPeut-être pris @avanishkasar l’a pris aujourd’hui. Ouverte
Difficulté 2/5 1-3 heures Accessibilité débutants 78/100
kubeflow/sdk#879 · 1 commentaire ·
Les mainteneurs répondent en général sous 1 jour