[bug bash] Actor logs are controlled by Kubernetes RBAC on the pool namespace, not atespace roles
メンテナーはふだん 1 日以内に返信
まだ誰も着手していません。
評価
- 難易度
- 1/5
- 見積もり時間
- 1〜3時間
- 初心者へのやさしさ
- 80/100
- issue の種類
- ドキュメント
- 明瞭さ
- 明確に書かれている
- 活発さ
- 活発
- 技術スタック
- go, kubernetes
調査の方向性
docs/authorization.md と kubectl ate logs のヘルプテキストを読み、近くにある既知の制限事項がどのように記載されているかを確認します。共有プールの名前空間での pods/log を通じた露出も含め、actor ログへのアクセスに関する制限を追加します。ドキュメントと CLI ヘルプで、atespace ロールが actor ログへのアクセスを制御しないことを明確に説明できれば完了です。
索引モデルが issue の本文から書いたものです。
説明
kubectl ate logs actor looks like it's covered by atespace authorization, but it isn't. Atespace roles don't control access to actor logs. Kubernetes RBAC on the worker pool namespace does.
LogsActorRunner in cmd/kubectl-ate/internal/cmd/actor.go calls GetActor, which is authorized, to find the worker pod. It then reads that pod's log through the Kubernetes API with the caller's kubeconfig. The GetActor call is the only atespace check, and it runs in the client. kubectl logs <worker-pod> skips it.
WorkerPools are shared across atespaces. On main (ffed8551), an actor in atespace team-b ran on worker pod counter-f984c8c85-l7dr9 in Kubernetes namespace ate-demo-counter. Anyone with pods/log there can read that actor's output without any role on team-b. Going the other way, a team-b viewer with no Kubernetes access can't read their own actor's logs.
#2043 tracks the missing per-actor log API, which is the real fix. Until that lands, docs/authorization.md should list this under "Known limitations": atespace roles don't cover actor logs, and pods/log in a pool namespace exposes the logs of every atespace that uses the pool. The kubectl ate logs help could say the same.
Found during the authorization bug bash, with help from an AI agent. I checked the code path and the pod placement on the cluster.
- 主要言語
- Go
- スター
- 5.9k
- フォーク
- 637
- 平均マージ
- 2日 10時間
- マージ済み PR（30日）
- 556
環境構築
- Dockerfile・Docker Compose ファイルなし
- プルリクエストのテンプレートあり
- コントリビューションガイドを読む
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
agent-substrate/substrate のほかの issue
-
area/dev-infra area/observability area/security kind/bug
難易度 2/5 1〜3時間 初心者へのやさしさ 82/100
agent-substrate/substrate#3282 ·
メンテナーはふだん 1 日以内に返信
-
filecachegc.runPass suppresses eviction logs when FreedBytes < target and consecutiveShortfalls > 3オープンarea/node area/observability area/storage kind/bug
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
agent-substrate/substrate#3281 ·
メンテナーはふだん 1 日以内に返信
-
docs/egress-trust-bundle.md documents ActorTemplate as a Kubernetes CRD rejected by kubectl ate create actor-template and uses mismatched trust-bundle mount paths対応中かも このイシューにリンクされたプルリクエストがオープン中、またはマージ済みです。 オープンarea/network area/security kind/docs
難易度 1/5 1〜3時間 初心者へのやさしさ 88/100
agent-substrate/substrate#3278 ·
メンテナーはふだん 1 日以内に返信
-
area/security bug-bash kind/docs
難易度 1/5 1時間未満 初心者へのやさしさ 83/100
agent-substrate/substrate#3235 ·
メンテナーはふだん 1 日以内に返信
-
[Bug Bash] A binding with a trailing space is accepted and silently matches nobody.対応中かも @SHRUTI6991 が今日担当しました。 オープンarea/security bug-bash kind/bug
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
agent-substrate/substrate#3232 · 担当者 1 名 ·
メンテナーはふだん 1 日以内に返信
agent-substrate/substrate の issue をすべて見る
似ている issue
-
[Bug]: Telegram bot (v3.11.0): "Ban log" no longer sends the current 3xipl-banned.log対応中かも @HamedSanaei が今日担当しました。 オープンbug
難易度 2/5 1〜3時間 初心者へのやさしさ 75/100
MHSanaei/3x-ui#6990 · コメント 1 件 ·
メンテナーはふだん 3 日以内に返信
-
bug(tool/internal/instrument): identical inject_code rules from two rule packages are applied twiceオープン
難易度 2/5 1〜3時間 初心者へのやさしさ 76/100
open-telemetry/opentelemetry-go-compile-instrumentation#1611 ·
メンテナーはふだん 2 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 79/100
メンテナーはふだん 1 日以内に返信
-
agent-butler-finding chore
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
jordansmall/spindrift#6114 ·
メンテナーはふだん 1 日以内に返信
-
documentation
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
メンテナーはふだん 1 日以内に返信