The opa-bundle-builder-clusterrole is never bound
Nessuno ha ancora preso questa issue.
Valutazione
- Difficoltà
- 4/5
- Tempo stimato
- 3-5 giorni
- Idoneità per principianti
- 52/100
- Tipo di issue
- Bug
- Chiarezza
- Abbastanza chiara
- Stato di attività
- Tranquilla
- Stack tecnologico
- helm, kubernetes, rust
- Ambito
- authorization, infrastructure
Direzione di ricerca
Inizia da deploy/helm/opa-operator/templates/clusterrole-opa-builder.yaml, quindi segui la configurazione del service account di bundle-builder nel codice dell’operatore. Conferma che il builder utilizzi il proprio service account e che questo ClusterRole sia associato, quindi aggiorna i commenti correlati di pull request #820. Il lavoro è completato quando il builder non eredita più i permessi del service account dell’operatore.
Scritto dal modello di indicizzazione a partire dal testo della issue.
Descrizione
Affected Stackable version
Any (at least up until and including SDP 26.3)
Affected OpenPolicyAgent version
N/A
Current and expected behavior
Currently, the bundle-builder uses the operator service account, and therefore inherits operator permissions.
It should use it's own service account and be bound to the ClusterRole defined in deploy/helm/opa-operator/templates/clusterrole-opa-builder.yaml so it has only the necessary permissions to perform its function.
Possible solution
- Drop the unused ClusterRole
- Adjust the operator code so that the bundle-builder ClusterRole is used.
Option 2 is probably better, because it at least shows what is needed by the bundle-builder - and allows for architectural changes (like the bundle builder running outside of the OPA cluster pod if that was ever a possibility).
In either case, the comments in https://github.com/stackabletech/opa-operator/pull/820/changes/5dc06dbca2365f9c2957f74318d8f722e972e0d2 will need to be updated.
Additional context
Originally found here: https://github.com/stackabletech/opa-operator/pull/820#discussion_r3062985546
Environment
No response
Would you like to work on fixing this bug?
maybe
- Lingua principale
- Rust
- Stelle
- 21
- Fork
- 5
- Merge medio
- 12h 44m
- PR unite (30g)
- 11
Guida per i contributori
Nessuna guida per i contributori indicizzata per questo repository
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Altre issue di stackabletech/opa-operator
-
Difficoltà 5/5 Più di una settimana Idoneità per principianti 30/100
stackabletech/opa-operator#766 ·
-
Difficoltà 4/5 3-5 giorni Idoneità per principianti 35/100
stackabletech/opa-operator#733 ·
-
User Info Fetcher: Document data differences between backends, and/or how to query it manually Aperta
Difficoltà 2/5 Mezza giornata Idoneità per principianti 50/100
stackabletech/opa-operator#724 ·
-
type/bug
Difficoltà 5/5 Più di una settimana Idoneità per principianti 20/100
stackabletech/opa-operator#718 ·
-
Active Directory: `userInfoById` returns undefined for backend if LDAP group request times out Apertatype/bug
Difficoltà 3/5 1-2 giorni Idoneità per principianti 35/100
stackabletech/opa-operator#690 ·
Tutte le issue di stackabletech/opa-operator
Issue simili
-
Replayed reasoning items send "content": null, which the Responses API schema does not permit Apertabug CLI custom-model
Difficoltà 2/5 1-3 ore Idoneità per principianti 75/100
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 75/100
rust-bitcoin/rust-bitcoin#6930 · 1 commento ·
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 75/100
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 75/100
fulcrumgenomics/ferro-hgvs#2251 ·
-
A-allocators A-docs C-enhancement T-libs
Difficoltà 2/5 1-3 ore Idoneità per principianti 75/100