envoyproxy/envoy

RBAC policy for unix socket peer uid/gid

Open

#6 193 ouverte le 6 mars 2019

Voir sur GitHub
 (2 commentaires) (0 réactions) (1 assigné)C++ (5 373 forks)batch import
area/rbacdesign proposalhelp wanted

Métriques du dépôt

Stars
 (27 997 stars)
Métriques de merge PR
 (Merge moyen 8j) (378 PRs mergées en 30 j)

Description

It would be nice to be able to specify a RBAC policy based on the UID or GID of the downstream connection when it's coming through a unix socket.

This would involve exposing the UID/GID on the Connection if applicable. This would be done by using SO_PEERCRED to get the peer credentials from the socket.

A RBAC policy would then be added to read this data.

The use case we have in mind here is restricting certain routes to be available only to users that can assume a specific unix group.

Guide contributeur

Direction de recherche
Examinez comment Envoy gère actuellement les connexions socket Unix et extrait les métadonnées de connexion. Étudiez l'implémentation du filtre RBAC pour comprendre où ajouter l'extraction des informations d'identification du pair. Implémentez `SO PEERCRED` dans le code de gestion de connexion et exposez uid/gid dans l'objet Connection. Ensuite, étendez la politique RBAC pour permettre la correspondance sur ces champs.
Stack technique
cpp
Domaine
backendsecurity
Type d'issue
Fonctionnalité
DifficultéDifficulté estimée pour un nouveau contributeur, de 1 pour un très petit changement à 5 pour un travail expert.
3
Temps estiméFourchette de temps approximative pour investiguer, implémenter, tester et préparer une pull request.
1-2 jours
Statut d'activitéDisponibilité apparente de l'issue : fraîche, active, ancienne, bloquée ou en attente d'un mainteneur.
Active
ClartéClarté avec laquelle l'issue explique le changement attendu, les critères d'acceptation et la prochaine étape.
Claire
Prérequis
C++Unix socket programming
Accessibilité débutantScore de 1 à 100 estimant l'accessibilité de cette issue pour un premier contributeur.
35