Security : run helm installs / upgrades / uninstalls as a service account local to the target namespace
I maintainer di solito rispondono entro 1 giorno
Valutazione
- Difficoltà
- 5/5
- Tempo stimato
- Più di una settimana
- Idoneità per principianti
- 35/100
- Tipo di issue
- Funzionalità
- Chiarezza
- Abbastanza chiara
- Stato di attività
- Attiva
- Stack tecnologico
- helm, java, kubernetes
- Ambito
- infrastructure, security
Direzione di ricerca
Start with the authenticationMode definition in Region.java and trace how Helm install, upgrade, and uninstall operations select credentials. Then inspect the onboarding flow that creates namespaces and their service accounts and role bindings. Done means a namespace-local service account mode is supported for sensitive Helm operations and onboarding provisions the required access; the issue leaves the mode name open for discussion.
Scritto dal modello di indicizzazione a partire dal testo della issue.
Descrizione
Currently, using the default mode (authenticationMode: serviceAccount, see https://github.com/InseeFrLab/onyxia-api/blob/2019ff5941a35989215e74216927a35fd69b2126/onyxia-model/src/main/java/fr/insee/onyxia/model/region/Region.java#L354), Onyxia executes helm installs / upgrades / uninstalls using it's own powerful service account.
This can be a security issue if the helm chart is compromised (or there is a flaw allowing injection).
We could add another mode, namespaceLocalServiceAccount (name to be discussed) that would execute sensitive helm operations (those that use user provided values) using a serviceaccount present in the target namespace.
Note that this would require the onboarding to create local serviceaccount (with corresponding rolebinding) in the namespace at the time of creation
- Lingua principale
- Java
- Stelle
- 34
- Fork
- 34
- Merge medio
- 1g 5h
- PR unite (30g)
- 15
Preparare l'ambiente
Questo progetto non fornisce container di sviluppo, Dockerfile né guida per i contributori, quindi l'ambiente è a tuo carico: parti dal suo README e consulta la nostra guida al primo contributo per i passaggi generali.
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Altre issue di InseeFrLab/onyxia-api
-
Difficoltà 4/5 3-5 giorni Idoneità per principianti 43/100
InseeFrLab/onyxia-api#689 ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 3/5 1-2 giorni Idoneità per principianti 74/100
InseeFrLab/onyxia-api#669 ·
I maintainer di solito rispondono entro 1 giorno
-
helmwrapper issue with rootless env : try to create /.cacheForse di nuovo libera @olevitt l’ha presa 346 giorni fa e non c’è nessuna pull request aperta. Aperta
InseeFrLab/onyxia-api#638 · 5 commenti · 1 assegnatario ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 3/5 1-2 giorni Idoneità per principianti 38/100
InseeFrLab/onyxia-api#612 · 3 commenti ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 4/5 3-5 giorni Idoneità per principianti 35/100
InseeFrLab/onyxia-api#586 · 1 commento ·
I maintainer di solito rispondono entro 1 giorno
Tutte le issue di InseeFrLab/onyxia-api
Issue simili
-
vaadin-map
Difficoltà 2/5 1-3 ore Idoneità per principianti 70/100
vaadin/flow-components#10586 ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 63/100
wpilibsuite/SystemcoreTesting#446 ·
I maintainer di solito rispondono entro 1 giorno
-
frontend quality-assurance
Difficoltà 2/5 1-3 ore Idoneità per principianti 64/100
Paul-Austin-Oswego-CSC480-HCI521/gift-app#212 ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 66/100
eip-work/kuboard-press#700 ·
-
Mend: dependency security vulnerability
Difficoltà 2/5 1-3 ore Idoneità per principianti 65/100
I maintainer di solito rispondono entro 1 giorno