kubernetes-sigs/cluster-api

Minimize RBAC roles for controllers

Ouverte

#6 554 ouverte le 26 mai 2022

Voir sur GitHubGuide contributeur
 (14 commentaires) (1 réaction) (1 personne assignée)Go (1 532 forks)auto 404
help wantedkind/cleanuppriority/important-longtermtriage/accepted

Métriques du dépôt

Stars
 (4 267 étoiles)
Métriques de merge PR
 (Métriques PR en attente)

Description

Following on from #https://github.com/kubernetes-sigs/cluster-api/pull/6510#discussion_r882538225

In Cluster API today we create RBAC manifests which are generated using kubebuilder tools. e.g.

https://github.com/kubernetes-sigs/cluster-api/blob/626ab4de03ef1e8f9b68e12bbfaf75e2cb0b4ffc/internal/controllers/clusterclass/clusterclass_controller.go#L42-L44

Many of our controllers seem to generate overly broad RBAC for themselves. e.g. many have the create verb when it is not used. Removing these roles should have no impact on functitonality, minimize the capabilities of our controllers from a security perspective, and make our RBAC manifests more descriptive about what our controllers are actually doing.

We should audit the following controllers to minimize their RBAC roles:

  • MachineHealthCheck
  • Machinepool
  • KubeadmConfig
  • ClusterResourceSet
  • Cluster
  • Machine
  • MachineDeployment
  • MachineSet
  • Topology/Cluster
  • ClusterClass

Guide contributeur

Direction de recherche
Auditez les marqueurs RBAC de chaque contrôleur listé dans la base de code. Pour chaque contrôleur, identifiez les permissions RBAC (en particulier les verbes create, update, delete) et comparez les avec l'utilisation réelle. Supprimez les permissions inutiles. Utilisez les annotations kubebuilder pour modifier les manifests RBAC.
Stack technique
go
Domaine
backendsecurity
Type d'issue
Maintenance
DifficultéDifficulté estimée pour un nouveau contributeur, de 1 pour un très petit changement à 5 pour un travail expert.
2
Temps estiméFourchette de temps approximative pour investiguer, implémenter, tester et préparer une pull request.
3-5 jours
Statut d'activitéDisponibilité apparente de l'issue : fraîche, active, ancienne, bloquée ou en attente d'un mainteneur.
Active
ClartéClarté avec laquelle l'issue explique le changement attendu, les critères d'acceptation et la prochaine étape.
Claire
Prérequis
GoKubernetes RBACGit
Accessibilité débutantScore de 1 à 100 estimant l'accessibilité de cette issue pour un premier contributeur.
65