Hacktoberfest 2026: le issue che i maintainer hanno segnato per ottobre, aperte e adatte ai principianti. Sfoglia le issue Hacktoberfest

Support isolated rootless builder jobs on Kind without relaxing worker security

Aperta
  • Qualcosa non va?
#273 2 commenti 0 reazioni 0 assegnatari Vedi su GitHub

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà
5/5
Tempo stimato
Più di una settimana
Idoneità per principianti
8/100
Tipo di issue
Bug
Chiarezza
Da chiarire
Stato di attività
Attiva
Stack tecnologico
docker, kubernetes, linux
Ambito
devops, infrastructure, security

Direzione di ricerca

The payload names no repository files, so start from the reproduction: a minimal BusyBox pod with hostUsers: false on Kind 0.30.0 that fails with the sysfs mount error. Read the linked kind issue #3436 and the two backport PRs to see what is already decided. Done means a valid build completes and pushes to the lab registry while the worker security settings stay enabled, which requires maintainer design input first.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

The 0.9.0 builder security backport retains Kubernetes user namespaces (hostUsers: false), a non-privileged rootless worker, no service-account token and the BuildKit process sandbox. Kind must support legitimate builds without disabling those protections.

In an isolated lab with Kind 0.30.0, Kubernetes 1.33.1, containerd 2.1.1 and Linux 6.8.0-146, a valid build is accepted but fails before the worker starts: mounting sysfs ... operation not permitted. A minimal BusyBox pod with hostUsers: false reproduces it; the equivalent ordinary pod succeeds.

Related upstream investigation: https://github.com/kubernetes-sigs/kind/issues/3436.

An initial read-only sysfs mount inside the Kind node clears the sandbox mount failure and exposes a second error: /kind/bin/mount-product-files.sh: permission denied; the node's /kind directory is mode 0644. This is still under test, not a completed compatibility fix.

Acceptance: a valid base-image and dependency build completes and pushes to the authenticated lab registry; the resulting image can run an action; malformed and cross-tenant targets remain rejected; worker user namespaces, non-privileged mode, token exclusion and process sandbox remain enabled. Node setup must be repeatable and survive node restart without granting workers access to the host Docker socket or host paths.

Related security backports:

Lingua principale
Python
Stelle
577
Fork
29
Merge medio
3g 39m
PR unite (30g)
5

Preparare l'ambiente

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di apache/openserverless

Tutte le issue di apache/openserverless

Issue simili

Altre issue su Python

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.