kubernetes-sigs/cluster-api

Minimize RBAC roles for controllers

Aperta

#6554 aperta il 26 mag 2022

Vedi su GitHubGuida contributor
 (14 commenti) (1 reazione) (1 assegnatario)Go (1532 fork)auto 404
help wantedkind/cleanuppriority/important-longtermtriage/accepted

Metriche repository

Star
 (4267 stelle)
Metriche merge PR
 (Metriche PR in attesa)

Descrizione

Following on from #https://github.com/kubernetes-sigs/cluster-api/pull/6510#discussion_r882538225

In Cluster API today we create RBAC manifests which are generated using kubebuilder tools. e.g.

https://github.com/kubernetes-sigs/cluster-api/blob/626ab4de03ef1e8f9b68e12bbfaf75e2cb0b4ffc/internal/controllers/clusterclass/clusterclass_controller.go#L42-L44

Many of our controllers seem to generate overly broad RBAC for themselves. e.g. many have the create verb when it is not used. Removing these roles should have no impact on functitonality, minimize the capabilities of our controllers from a security perspective, and make our RBAC manifests more descriptive about what our controllers are actually doing.

We should audit the following controllers to minimize their RBAC roles:

  • MachineHealthCheck
  • Machinepool
  • KubeadmConfig
  • ClusterResourceSet
  • Cluster
  • Machine
  • MachineDeployment
  • MachineSet
  • Topology/Cluster
  • ClusterClass

Guida contributor

Direzione di ricerca
Controlla i marcatori RBAC di ciascun controller elencato nel codebase. Per ogni controller, identifica le autorizzazioni RBAC (in particolare i verbi create, update, delete) e confrontale con l'uso effettivo. Rimuovi eventuali autorizzazioni non necessarie. Utilizza le annotazioni kubebuilder per modificare i manifest RBAC.
Tech stack
go
Dominio
backendsecurity
Tipo issue
Manutenzione
DifficoltàQuanto dovrebbe essere impegnativa per un nuovo contributor.
2
Tempo stimatoTempo stimato per completare e verificare uno scope piccolo.
3-5 giorni
Stato attivitàQuanto è probabile che la issue sia ancora attiva e reviewable.
Attiva
ChiarezzaQuanto chiaramente la issue descrive problema, scope e risultato atteso.
Chiara
Prerequisiti
GoKubernetes RBACGit
Adatta ai principiantiQuanto la issue è adatta a contributor alla prima esperienza.
65