kubernetes-sigs/cluster-api

Security Self Assessment: [STRIDE-SPOOF-4][STRIDE-SPOOF-5] Machine attestation for secure kubelet registration

Aperta

#3762 aperta il 7 ott 2020

Vedi su GitHubGuida contributor
 (15 commenti) (1 reazione) (0 assegnatari)Go (1532 fork)auto 404
area/securityhelp wantedkind/featurepriority/important-longtermsig/securitytriage/accepted

Metriche repository

Star
 (4267 stelle)
Metriche merge PR
 (Metriche PR in attesa)

Descrizione

User Story

As a security operator, I want to ensure developers who have access to create MachineDeployments are not able to gain access to data for workloads on a cluster they are not supposed to.

Detailed Description

kubeadm bootstrap tokens allow registration as arbitrary node names. GCP, EKS and Kops provide mechanisms to attest to the identity of a node such that they do not inadvertently get access to secrets and volumes not intended for that node. Provide a mechanism to resolve.

Anything else you would like to add:

[Miscellaneous information that will assist in solving the issue.]

/kind feature

Guida contributor

Direzione di ricerca
Ricerca l'attuale processo di registrazione del kubelet con i token di bootstrap e studia i metodi di attestazione della macchina esistenti nei provider cloud (GCP, AWS, Azure). Proponi un progetto per integrare l'attestazione nel flusso di provisioning della macchina di Cluster API.
Tech stack
go
Dominio
security
Tipo issue
Funzionalità
DifficoltàQuanto dovrebbe essere impegnativa per un nuovo contributor.
4
Tempo stimatoTempo stimato per completare e verificare uno scope piccolo.
3-5 giorni
Stato attivitàQuanto è probabile che la issue sia ancora attiva e reviewable.
Datata
ChiarezzaQuanto chiaramente la issue descrive problema, scope e risultato atteso.
Chiara
Prerequisiti
GoKubernetesSecurity
Adatta ai principiantiQuanto la issue è adatta a contributor alla prima esperienza.
20