Hacktoberfest 2026: le issue che i maintainer hanno segnato per ottobre, aperte e adatte ai principianti. Sfoglia le issue Hacktoberfest

[bug bash] Actor logs are controlled by Kubernetes RBAC on the pool namespace, not atespace roles

Aperta Adatta ai principianti
  • Qualcosa non va?
#3,242 0 commenti 0 reazioni 0 assegnatari Vedi su GitHub

I maintainer di solito rispondono entro 1 giorno

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà
1/5
Tempo stimato
1-3 ore
Idoneità per principianti
80/100
Tipo di issue
Documentazione
Chiarezza
Specificata chiaramente
Stato di attività
Attiva
Stack tecnologico
go, kubernetes
Ambito
authorization, cli, documentation, security

Direzione di ricerca

Leggi docs/authorization.md e il testo della guida di kubectl ate logs, quindi verifica come sono documentate le limitazioni note nelle vicinanze. Aggiungi la limitazione relativa all’accesso ai log degli actor, inclusa l’esposizione tramite pods/log negli spazi dei nomi dei pool condivisi. Il lavoro è completato quando la documentazione e la guida della CLI spiegano chiaramente che i ruoli atespace non controllano l’accesso ai log degli actor.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

area/cli area/security bug-bash kind/docs

kubectl ate logs actor looks like it's covered by atespace authorization, but it isn't. Atespace roles don't control access to actor logs. Kubernetes RBAC on the worker pool namespace does.

LogsActorRunner in cmd/kubectl-ate/internal/cmd/actor.go calls GetActor, which is authorized, to find the worker pod. It then reads that pod's log through the Kubernetes API with the caller's kubeconfig. The GetActor call is the only atespace check, and it runs in the client. kubectl logs <worker-pod> skips it.

WorkerPools are shared across atespaces. On main (ffed8551), an actor in atespace team-b ran on worker pod counter-f984c8c85-l7dr9 in Kubernetes namespace ate-demo-counter. Anyone with pods/log there can read that actor's output without any role on team-b. Going the other way, a team-b viewer with no Kubernetes access can't read their own actor's logs.

#2043 tracks the missing per-actor log API, which is the real fix. Until that lands, docs/authorization.md should list this under "Known limitations": atespace roles don't cover actor logs, and pods/log in a pool namespace exposes the logs of every atespace that uses the pool. The kubectl ate logs help could say the same.

Found during the authorization bug bash, with help from an AI agent. I checked the code path and the pod placement on the cluster.

Lingua principale
Go
Stelle
5.9k
Fork
637
Merge medio
2g 10h
PR unite (30g)
556

Preparare l'ambiente

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di agent-substrate/substrate

Tutte le issue di agent-substrate/substrate

Issue simili

Altre issue su Go

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.