[Bug]: demos/sandbox client fails with missing bearer token on actor resume
I maintainer di solito rispondono entro 1 giorno
Valutazione
- Difficoltà
- 1/5
- Tempo stimato
- Meno di un'ora
- Idoneità per principianti
- 85/100
- Tipo di issue
- Bug
- Chiarezza
- Specificata chiaramente
- Stato di attività
- Attiva
- Stack tecnologico
- go, grpc
- Ambito
- backend-api-design, cli
Direzione di ricerca
Ispeziona demos/sandbox/client/main.go, in particolare dialAteAPI() e il percorso di chiamata di ResumeActor, quindi confrontali con gli usi esistenti di internal/ateclient.NewClient nel repository per determinare la configurazione di autenticazione prevista. Riproduci prima il problema seguendo i passaggi documentati per il port-forward ed eseguendo go run ./demos/sandbox/client --atespace=demo --name=sb1 per confermare l’errore attuale missing bearer token. Il lavoro è completato quando il comando riprende l’actor senza errori di autenticazione e non raggiunge più il risultato RPC non autenticato.
Scritto dal modello di indicizzazione a partire dal testo della issue.
Descrizione
What happened?
Summary
Running demos/sandbox/client fails when invoking ResumeActor against ate-api because the client establishes an unauthenticated gRPC connection without attaching a Bearer token.
Steps to Reproduce
- Port-forward the Substrate API server (
kubectl port-forward -n ate-system svc/api 8080:443). - Run the sandbox client:
go run ./demos/sandbox/client --atespace=demo --name=sb1
Actual Behavior
2026/09/09 21:51:13 Connecting to ateapi at localhost:8080...
2026/09/09 21:51:13 Resuming actor sb1...
2026/09/09 21:51:13 Failed to resume actor: rpc error: code = Unauthenticated desc = missing bearer token
Root Cause
demos/sandbox/client/main.go uses a custom dialAteAPI() helper that calls grpc.NewClient with TLS but omits PerRPCCredentials (Bearer JWT / ServiceAccount token). As a result, ate-api's auth interceptor rejects the unauthenticated request.
Expected Behavior
The client should authenticate with ate-api using the standard internal/ateclient.NewClient, which automatically:
- Obtains an
ate-clientServiceAccount bearer token via the k8s TokenRequest API (or uses--token-file). - Validates the serving certificate against
ClusterTrustBundle. - Injects bearer credentials into RPC requests.
Steps to Reproduce
-
Deploy the sandbox demo on an Agent Substrate cluster:
./hack/install-ate.sh --deploy-demo-sandbox -
Create a sandbox actor:
kubectl ate create actor sb1 -a ate-demo-sandbox --template sandbox-template -
Port-forward the API and router:
kubectl port-forward -n ate-system svc/atenet-router 8000:80 &
-
Run the sandbox client:
go run ./demos/sandbox/client --atespace=ate-demo-sandbox --name=sb1 -
Error:
Failed to resume actor: rpc error: code = Unauthenticated desc = missing bearer token
Sandbox Runtime
gVisor (runsc)
Agent Substrate Version / Commit SHA
0b3d2d078
Kubernetes Version & Environment
No response
Host OS & Architecture
No response
Relevant Logs and Diagnostic Output
Additional Context
No response
Confirmation
- I have searched existing issues and verified that this is not a duplicate.
- I have verified that this issue occurs on the latest commit on
main.
- Lingua principale
- Go
- Stelle
- 5.9k
- Fork
- 637
- Merge medio
- 2g 10h
- PR unite (30g)
- 562
Preparare l'ambiente
- Nessun Dockerfile né file Docker Compose
- Ha un modello di pull request
- Leggi la guida per i contributori
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Altre issue di agent-substrate/substrate
-
area/cli kind/bug
Difficoltà 2/5 1-3 ore Idoneità per principianti 70/100
agent-substrate/substrate#3406 ·
I maintainer di solito rispondono entro 1 giorno
-
k8s-credential-provider manifest is missing ate-otel-config envFrom, failing OTLP metric exports to [::1]:4317 / 127.0.0.1:4317 every 60sForse già presa @ericcurtin l’ha presa 1 giorno fa. Apertaarea/dev-infra area/observability area/security kind/bug
Difficoltà 2/5 1-3 ore Idoneità per principianti 82/100
agent-substrate/substrate#3282 ·
I maintainer di solito rispondono entro 1 giorno
-
filecachegc.runPass suppresses eviction logs when FreedBytes < target and consecutiveShortfalls > 3Apertaarea/node area/observability area/storage kind/bug
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
agent-substrate/substrate#3281 ·
I maintainer di solito rispondono entro 1 giorno
-
docs/egress-trust-bundle.md documents ActorTemplate as a Kubernetes CRD rejected by kubectl ate create actor-template and uses mismatched trust-bundle mount pathsForse già presa @moficodes l’ha presa 1 giorno fa. Apertaarea/network area/security kind/docs
Difficoltà 1/5 1-3 ore Idoneità per principianti 88/100
agent-substrate/substrate#3278 ·
I maintainer di solito rispondono entro 1 giorno
-
[bug bash] Actor logs are controlled by Kubernetes RBAC on the pool namespace, not atespace rolesApertaarea/cli area/security bug-bash kind/docs
Difficoltà 1/5 1-3 ore Idoneità per principianti 80/100
agent-substrate/substrate#3242 ·
I maintainer di solito rispondono entro 1 giorno
Tutte le issue di agent-substrate/substrate
Issue simili
-
agent-butler-finding bug
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
jordansmall/spindrift#6161 ·
I maintainer di solito rispondono entro 1 giorno
-
C-bug O-community X-blathers-untriaged
Difficoltà 1/5 Meno di un'ora Idoneità per principianti 84/100
cockroachdb/cockroach#176210 · 1 commento ·
-
VLAgent `spec.k8sCollector.includePodLabels: false` has no effectForse già presa Una pull request collegata a questa issue è aperta o già unita. Aperta
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
VictoriaMetrics/operator#2772 ·
I maintainer di solito rispondono entro 1 giorno
-
refactor Type/Improvement
Difficoltà 2/5 1-3 ore Idoneità per principianti 74/100
OpenNSW/nsw-srilanka#969 ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 82/100
Gaurav-Gosain/tuios#1316 ·
I maintainer di solito rispondono entro 1 giorno