[Feature Request] Streamline FAST stage IAM impersonation tooling to reduce cross-stage 403 errors
メンテナーはふだん 3 日以内に返信
まだ誰も着手していません。
評価
- 難易度
- 5/5
- 見積もり時間
- 1週間以上
- 初心者へのやさしさ
- 38/100
- issue の種類
- 機能追加
- 明瞭さ
- おおむね明確
- 活発さ
- 活発
- 技術スタック
- shell, terraform
- 領域
- cloud, devops, infrastructure, security
調査の方向性
Start by inspecting the existing tooling in scripts/ or fast/, especially deploy.sh, and review how stage-specific .tfvars and impersonation environment variables are handled. Compare the proposed helper, pre-flight authorization check, and docs/ddg.md troubleshooting section with current workflows; done means the selected scope is implemented and cross-stage 403 recovery is documented.
索引モデルが issue の本文から書いたものです。
説明
Feature Description
Provide developer experience utilities, active-context indicators, and streamlined helper tooling for managing service account impersonation across Fabric FAST deployment stages.
Use Case
Fabric FAST enforces least-privilege architecture by dedicating separate service accounts to each deployment stage (0-bootstrap, 1-resman, 2-networking, 3-security). Operators must switch service account impersonation contexts each time they transition between stages or inspect cross-stage resources.
In practice, this frequent context switching causes recurring authorization errors (403 Forbidden) when operators run commands against a stage while still impersonating a previous stage's service account. This creates cognitive overload, friction during cross-stage troubleshooting, and client frustration.
Proposed Solution
- Stage Activation / Context Helper: Provide a lightweight helper script or shell function (e.g., within
scripts/orfast/) that exports the appropriateGOOGLE_IMPERSONATE_SERVICE_ACCOUNT/CLOUDSDK_AUTH_IMPERSONATE_SERVICE_ACCOUNTenvironment variable, checks credentials, and prepares stage-specific.tfvarsin one command. - Pre-flight Stage Authorization Verification: Add a check in stage tooling or
deploy.shthat validates whether the currently active identity has permission to impersonate the target stage service account before runningterraform planorapply. - Enhanced Cross-Stage Debugging Documentation: Add an explicit cross-stage IAM impersonation matrix and troubleshooting section in
docs/ddg.mdexplaining how to debug permissions and recover from common 403 scenarios.
Compliance & Deployment Context
- Target Deployment Type(s):
- US Region Restricted (e.g., Access Policy constraint)
- FedRAMP Medium
- FedRAMP High
- FedRAMP Moderate
- DoD IL4
- DoD IL5
- All / General
- Relevant NIST 800-53r5 Controls: AC-02 (Account Management), AC-06 (Least Privilege), IA-02 (Identification and Authentication)
Reusability Check
- I have checked if this functionality can be achieved by extending an existing module or blueprint.
- I have verified that this does not duplicate existing functionality.
Alternatives Considered
- Consolidating into a single administrative service account: Rejected because it violates least privilege, separation of duties, and FedRAMP / DoD IL5 compliance requirements.
- Manual variable exports only: Currently causes frequent 403 errors and developer confusion when switching stages.
Additional Context
Improving the developer experience around multi-stage impersonation preserves strict security boundaries while eliminating the primary source of authorization errors during deployments.
- 主要言語
- HCL
- スター
- 55
- フォーク
- 21
- 平均マージ
- 1日 22時間
- マージ済み PR（30日）
- 24
環境構築
- Dockerfile・Docker Compose ファイルなし
- プルリクエストのテンプレートあり
- コントリビューションガイドを読む
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
google/stellar-engine のほかの issue
-
[Feature Request] No research blueprint family — the README names universities as a target audience, every blueprint is FedRAMP High, FedRAMP Moderate or IL5再び着手できるかも @Calvin-Cheng1 が 31 日前に担当しましたが、オープン中のプルリクエストはありません。 オープンEnhancement Level of Effort - High Priority - Low Scope - Blueprint
google/stellar-engine#239 · コメント 2 件 · 担当者 1 名 ·
メンテナーはふだん 3 日以内に返信
-
[Feature Request] Remove Source Repo references and modules and replace with SSM対応中かも @Calvin-Cheng1 が 12 日前に担当しました。 オープンEnhancement Level of Effort - High Priority - High Scope - Blueprint Scope - Fast Scope - Module
難易度 4/5 3〜5日 初心者へのやさしさ 45/100
google/stellar-engine#198 · コメント 2 件 · 担当者 1 名 ·
メンテナーはふだん 3 日以内に返信
-
[Feature Request]Customize Org Policy Enforcement Based on Regime Setting対応中かも @aghassemlouei が 8 日前に担当しました。 オープンcompliance Enhancement Framework - FedRAMP High Framework - IL5 Level of Effort - Low Priority - Medium Scope - Fast Scope - Stage 0
難易度 5/5 1週間以上 初心者へのやさしさ 35/100
google/stellar-engine#197 ·
メンテナーはふだん 3 日以内に返信
-
compliance Enhancement Framework - FedRAMP Moderate Level of Effort - High Priority - Medium Scope - Blueprint
難易度 5/5 1週間以上 初心者へのやさしさ 38/100
google/stellar-engine#192 ·
メンテナーはふだん 3 日以内に返信
-
compliance Enhancement Level of Effort - Medium Priority - Medium Scope - Blueprint Security
難易度 5/5 1週間以上 初心者へのやさしさ 38/100
google/stellar-engine#188 ·
メンテナーはふだん 3 日以内に返信
google/stellar-engine の issue をすべて見る
似ている issue
-
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
voidzero-dev/void#463 ·
メンテナーはふだん 1 日以内に返信
-
type: cleanup
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
googleapis/google-cloud-swift#1477 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
aws/sagemaker-python-sdk#6495 ·
メンテナーはふだん 2 日以内に返信
-
fix(infra): web Lambda never gets SEARXNG_BASE_URL, so inline web_search has no backup providerオープンbug
難易度 2/5 1〜3時間 初心者へのやさしさ 73/100
メンテナーはふだん 1 日以内に返信
-
Needs: triage :mag:
難易度 2/5 1〜3時間 初心者へのやさしさ 76/100
microsoft/azure-container-apps#1858 ·