feat(proxy): preserve typed dynamic token-grant failures across the sandbox boundary
メンテナーはふだん 1 日以内に返信
まだ誰も着手していません。
評価
- 難易度
- 5/5
- 見積もり時間
- 1週間以上
- 初心者へのやさしさ
- 35/100
- issue の種類
- 機能追加
- 明瞭さ
- おおむね明確
- 活発さ
- 活発
- 技術スタック
- rust
調査の方向性
まず、Supervisor、Gateway、sandbox response、trusted control-plane API にまたがる動的な token 付与の失敗経路を追跡します。設定済みの token-service contract と既存の telemetry boundaries を確認し、次に acceptance criteria を使って、決定論的なマッピング、redaction、correlation、fail-closed behavior を定義します。列挙された status cases に対する unit および end-to-end のカバレッジを追加し、trusted client が文書化された安定した分類だけを受け取るようにします。
索引モデルが issue の本文から書いたものです。
説明
Summary
Preserve safe, structured dynamic token-grant failure classifications across the Supervisor proxy boundary instead of collapsing every token acquisition failure into an opaque 502 Bad Gateway.
Problem
During an integration POC with an external token service, an outbound request matched its provider policy and initiated the configured dynamic token grant. The upstream token service returned 401 Unauthorized, but the sandbox caller received only a generic 502 Bad Gateway.
This fail-closed behavior correctly prevented the request from reaching the destination without a credential. However, the trusted application/control plane could not distinguish an actionable authorization condition, such as a missing or revoked provider authorization, from invalid workload identity, token-service outage, timeout, or malformed configuration.
The sandbox must not receive raw token-service errors, token-service internals, authorization URLs, credentials, or identity details. A trusted caller still needs a stable classification so it can initiate the appropriate recovery flow.
Requested behavior
- Define a stable, sanitized error taxonomy for dynamic token-grant failures.
- Preserve a recognized token-service condition such as
provider_authorization_requiredthrough the Supervisor/Gateway status or trusted control-plane API. - Continue returning a non-sensitive, fail-closed error to the sandbox request.
- Distinguish at least:
- provider/user authorization required;
- workload identity or assertion rejected;
- provider/token-grant configuration error;
- upstream timeout or unavailable service;
- unclassified upstream failure.
- Include a correlation ID that lets operators join the sandbox denial, Supervisor event, Gateway event, and token-service event without exposing tokens.
- Do not infer
provider_authorization_requiredfrom every upstream401; only propagate an explicitly recognized, authenticated contract from the configured token service.
Acceptance criteria
- A token service's authenticated, typed
provider_authorization_requiredresponse is available to an authorized trusted control-plane client using a documented stable code. - The sandbox response and sandbox-visible logs contain no token-service response body, authorization URL, bearer token, JWT-SVID, or provider secret.
- An invalid/expired JWT-SVID remains distinguishable from provider authorization required in trusted telemetry.
401,403,409,429, timeout, and5xxtoken-service cases have deterministic documented mappings.- The enterprise request is never forwarded when token resolution fails.
- Unit and end-to-end tests cover the mappings, redaction, correlation, and fail-closed behavior.
Observed POC behavior
The proxy returned 502 while trusted OpenShell logs showed that the intermediate provider token exchange failed with upstream 401 Unauthorized. This RFE requests an error contract; it does not request exposing the raw upstream response to the agent.
- 主要言語
- Rust
- スター
- 8.7k
- フォーク
- 1.3k
- 平均マージ
- 1日 20時間
- マージ済み PR（30日）
- 311
環境構築
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
NVIDIA/OpenShell のほかの issue
-
area:docs
難易度 1/5 1時間未満 初心者へのやさしさ 88/100
メンテナーはふだん 1 日以内に返信
-
state:triage-needed
難易度 2/5 1〜3時間 初心者へのやさしさ 82/100
NVIDIA/OpenShell#3400 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
area:cli state:validated
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
NVIDIA/OpenShell#2888 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
state:triage-needed
難易度 1/5 1時間未満 初心者へのやさしさ 90/100
メンテナーはふだん 1 日以内に返信
-
area:build spike state:review-ready state:stale
難易度 2/5 半日 初心者へのやさしさ 68/100
NVIDIA/OpenShell#2401 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
NVIDIA/OpenShell の issue をすべて見る
似ている issue
-
area:casework bug criticality:p3 triage:needs-implementation
難易度 2/5 1〜3時間 初心者へのやさしさ 84/100
registrystack/registry-stack#1623 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 76/100
leptos-rs/leptos#4885 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
longbridge/gpui-kit#3276 ·
メンテナーはふだん 1 日以内に返信
-
A-Migration Guides D-Straightforward S-Ready-For-Implementation X-Uncontroversial
難易度 1/5 1時間未満 初心者へのやさしさ 88/100
bevyengine/bevy-website#2607 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
メンテナーはふだん 1 日以内に返信