envoyproxy/envoy

RBAC policy for unix socket peer uid/gid

Open

#6193 aperta il 6 mar 2019

Vedi su GitHub
 (2 commenti) (0 reazioni) (1 assegnatario)C++ (5373 fork)batch import
area/rbacdesign proposalhelp wanted

Metriche repository

Star
 (27.997 star)
Metriche merge PR
 (Merge medio 8g) (378 PR mergiate in 30 g)

Descrizione

It would be nice to be able to specify a RBAC policy based on the UID or GID of the downstream connection when it's coming through a unix socket.

This would involve exposing the UID/GID on the Connection if applicable. This would be done by using SO_PEERCRED to get the peer credentials from the socket.

A RBAC policy would then be added to read this data.

The use case we have in mind here is restricting certain routes to be available only to users that can assume a specific unix group.

Guida contributor

Direzione di ricerca
Esamina come Envoy gestisce attualmente le connessioni socket Unix ed estrae i metadati di connessione. Studia l'implementazione del filtro RBAC per capire dove aggiungere l'estrazione delle credenziali peer. Implementa `SO PEERCRED` nel codice di gestione della connessione ed esponi uid/gid nell'oggetto Connection. Quindi estendi la politica RBAC per consentire il match su questi campi.
Tech stack
cpp
Dominio
backendsecurity
Tipo issue
Funzionalità
DifficoltàQuanto dovrebbe essere impegnativa per un nuovo contributor.
3
Tempo stimatoTempo stimato per completare e verificare uno scope piccolo.
1-2 giorni
Stato attivitàQuanto è probabile che la issue sia ancora attiva e reviewable.
Attiva
ChiarezzaQuanto chiaramente la issue descrive problema, scope e risultato atteso.
Chiara
Prerequisiti
C++Unix socket programming
Adatta ai principiantiQuanto la issue è adatta a contributor alla prima esperienza.
35