Security : move away from "cluster-admin" everywhere
Nessuno ha ancora preso questa issue.
Valutazione
- Difficoltà
- 5/5
- Tempo stimato
- Più di una settimana
- Idoneità per principianti
- 25/100
- Tipo di issue
- Funzionalità
- Chiarezza
- Abbastanza chiara
- Stato di attività
- Ferma
- Stack tecnologico
- helm, java, kubernetes
- Ambito
- authorization, infrastructure, security
Direzione di ricerca
Inizia tracciando i percorsi di Onyxia-api che effettuano chiamate a kubectl e helm e il flusso di onboarding che crea namespaces, permessi e account di servizio. Mappa innanzitutto la dipendenza attuale da cluster-admin; il lavoro è completato quando l’onboarding utilizza un’identità separata e i permessi richiesti sono esplicitamente ridotti o definiti in modo più preciso.
Scritto dal modello di indicizzazione a partire dal testo della issue.
Descrizione
Currently, Onyxia-api do everything (both kubectl and helm) using a single service account that is supposed to be cluster-admin.
Here are some improvements we could make :
- Every regular
kubectlandhelmcalls should be made using user's permissions - Onboarding (creating user's namespace, applying permissions ...) should be done using a separate service account and preferably done in another process / pod (externalize the onboarding process as a standalone API ?)
- Try to reduce or at least refine and explicit permissions needed for the onboarding feature. Currently, it defaults to creating a cluster-admin service account which is probably too much
- Lingua principale
- Java
- Stelle
- 34
- Fork
- 34
- Merge medio
- 9m
- PR unite (30g)
- 4
Preparare l'ambiente
Questo progetto non fornisce container di sviluppo, Dockerfile né guida per i contributori, quindi l'ambiente è a tuo carico: parti dal suo README e consulta la nostra guida al primo contributo per i passaggi generali.
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Altre issue di InseeFrLab/onyxia-api
-
Difficoltà 4/5 3-5 giorni Idoneità per principianti 43/100
InseeFrLab/onyxia-api#689 ·
-
Security : run helm installs / upgrades / uninstalls as a service account local to the target namespaceForse già presa @olevitt l’ha presa 10 giorni fa. Aperta
Difficoltà 5/5 Più di una settimana Idoneità per principianti 35/100
InseeFrLab/onyxia-api#688 ·
-
Difficoltà 3/5 1-2 giorni Idoneità per principianti 74/100
InseeFrLab/onyxia-api#669 ·
-
helmwrapper issue with rootless env : try to create /.cacheForse di nuovo libera @olevitt l’ha presa 344 giorni fa e non c’è nessuna pull request aperta. Aperta
InseeFrLab/onyxia-api#638 · 5 commenti · 1 assegnatario ·
-
Difficoltà 3/5 1-2 giorni Idoneità per principianti 38/100
InseeFrLab/onyxia-api#612 · 3 commenti ·
Tutte le issue di InseeFrLab/onyxia-api
Issue simili
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 72/100
I maintainer di solito rispondono entro 3 giorni
-
A proxy that fails to start logs a RejectedExecutionException stack trace from its shutdown hookApertafollow-up
Difficoltà 2/5 1-3 ore Idoneità per principianti 62/100
Sanne/incus-spawn#1953 ·
I maintainer di solito rispondono entro 1 giorno
-
Bug
Difficoltà 2/5 1-3 ore Idoneità per principianti 70/100
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 62/100
HexaHexes/ability-battlewills#37 ·
I maintainer di solito rispondono entro 1 giorno
-
enhancement
Difficoltà 2/5 1-3 ore Idoneità per principianti 66/100
Shweit/EtherealPortals#30 ·