Hacktoberfest 2026：メンテナが10月に向けて印を付けた、オープンで初心者向けの issue。 Hacktoberfest の issue を見る

[Bug] il5/gke-hardened: shielded nodes, confidential nodes and the CIS SSH key setting never apply

オープン
  • 何か問題がありますか？
#315 コメント 0 件 リアクション 0 件 担当者 0 名 GitHub で見る

メンテナーはふだん 1 日以内に返信

@digitalresistor がすでに取り組んでいます。

2026年10月22日 から。

  • #344 @digitalresistor による — オープン

評価

難易度
3/5
見積もり時間
1〜2日
初心者へのやさしさ
67/100
issue の種類
バグ
明瞭さ
明確に書かれている
活発さ
活発
技術スタック
gcp, terraform
領域
cloud, infrastructure

調査の方向性

Read blueprints/il5/gke-hardened/main.tf lines 150–175 alongside the enable_features and node_config types in modules/gke-cluster-standard-se/variables.tf. The issue describes moving confidential node, machine type, and metadata settings to the node pool created by module "cluster_nodepool" through modules/gke-nodepool. Run terraform plan and confirm shielded nodes are enabled and the intended node settings apply.

索引モデルが issue の本文から書いたものです。

説明

Bug Framework - FedRAMP High Framework - IL5 Level of Effort - Low Priority - High Scope - Blueprint Scope - Module Security

Bug Description

The blueprints/il5/gke-hardened/main.tf file declares several CIS hardening settings that never reach the cluster:

  • enable_features.enable_shielded_nodes = true is a typo for shielded_nodes, so shielded nodes stay at the module default, false;
  • node_config.metadata.block-project-ssh-keys, node_config.machine_type and node_config.confidential_nodes are not attributes of the node_config type in modules/gke-cluster-standard-se, so Terraform silently discards them.

Environment and Deployment Context

  • Stellar Engine Version/Commit: main at commit 2b112119e
  • Deployment Type:
    • US Region Restricted (e.g., Access Policy constraint)
    • FedRAMP Moderate
    • FedRAMP High
    • DoD IL4
    • DoD IL5
    • Stand-alone / Custom
  • FAST Stage (if applicable):
    • Stage 0 (Bootstrap)
    • Stage 1 (Resource Management)
    • Stage 2 (Network Creation)
    • Stage 3 (Security and Audit)
  • Affected Component: blueprints/il5/gke-hardened, modules/gke-cluster-standard-se
  • Terraform Version: any; static analysis of the configuration
  • GCP Provider Version: any

Steps to Reproduce

  1. Read blueprints/il5/gke-hardened/main.tf, lines 150 to 175.
  2. Compare the attributes with the enable_features and node_config types in modules/gke-cluster-standard-se/variables.tf.
  3. Run terraform plan and inspect enable_shielded_nodes and the node configuration of the cluster.

Expected Behavior

The hardened cluster runs shielded and confidential nodes and blocks project-wide SSH keys, as the CIS Compliance Benchmark 4.3 and 4.11 comments in the file state.

Actual Behavior

The plan sets enable_shielded_nodes = false and applies none of the node settings.

Relevant Logs and Errors

No error appears, because Terraform discards object attributes that a variable type does not declare.

Additional Context

  • Set enable_features.shielded_nodes = true, which GKE applies as an in-place update.
  • Move confidential nodes, the machine type and the metadata to the node pool that module "cluster_nodepool" creates through modules/gke-nodepool.
  • The migration in #311 removes the discarded attributes, so that the configuration no longer suggests they apply, and leaves this fix here.
  • Relevant controls include NIST 800-53r5 SC-39 and CM-6.
主要言語
HCL
スター
58
フォーク
25
平均マージ
1日 16時間
マージ済み PR（30日）
59

環境構築

はじめの一歩

  1. issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
  2. 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
  3. リポジトリをフォークし、ブランチを切って変更します。
  4. issue 番号を参照したプルリクエストを送ります。

google/stellar-engine のほかの issue

google/stellar-engine の issue をすべて見る

似ている issue

Cloud の issue をもっと見る

新しい issue をメールで受け取る

初心者向けの GitHub issue を短くまとめたダイジェスト。