Support namespace caches for authorized local Secrets
まだ誰も着手していません。
評価
調査の方向性
Read the local manager setup in cmd/api-syncagent/main.go and the local and related-resource clients in internal/controller/sync/controller.go. Start by tracing how Secret informers are created and how namespace permissions are managed; the issue also points to Issue 113 for namespace deletion context. Done means namespace-scoped Secret caches cover primary and related Secret operations, include the state namespace, keep cluster-scoped resources separate, and handle startup, shutdown, and an empty namespace set safely.
索引モデルが issue の本文から書いたものです。
説明
Feature Description
The local manager has no namespace limit for its cache.
A Secret informer therefore needs cluster-wide list and watch permissions.
Namespace RoleBindings cannot grant those operations across all namespaces.
An event predicate filters objects after the API request. It cannot narrow the request scope.
To reproduce
- Configure a published resource with a local Secret or a related Secret.
- Grant Secret access only in
sample-spaceand the agent state namespace. - Start the agent with its required permissions for other resource types.
- Observe the Secret informer request scope.
Actual behavior
The informer requests Secrets across all namespaces. Namespace RoleBindings cannot authorize the request.
Expected behavior
An explicit namespace set limits the Secret informer to authorized namespaces.
Proposed Solution
Support namespace caches for local Secrets.
Keep cluster-scoped resources separate. Include the fixed state namespace.
Create each namespace permission before its informer starts.
Define how the informer stops before namespace permissions disappear.
An empty namespace set must not create an all-namespace informer.
Cover primary and related Secret reads, writes, patches, and deletion.
Alternative Solutions
Cluster-wide Secret permissions permit the current cache. They exceed the required namespace access.
The agent namespace flag controls its own namespace. It does not define the tenant namespace set.
Want to contribute?
No implementation commitment accompanies this request.
Additional Context
Source check: 2026-10-30, default branch main, commit 7d8db2c9ce67562bcb23968ea651fd4f2fa52a01.
Local manager setup.
Local manager client.
Related-resource local client.
Issue 113 concerns namespace deletion after unbind.
It does not add namespace caches. No current live test or patch accompanies this request.
- 主要言語
- Go
- スター
- 25
- フォーク
- 32
- PR マージ指標
- 30日以内にマージされた PR はありません
環境構築
- Dockerfile または Docker Compose ファイルあり
- プルリクエストのテンプレートあり
- コントリビューションガイドを読む
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
kcp-dev/api-syncagent のほかの issue
-
bug: default naming for local object fails on cluster-scoped published resources対応中かも @Sarthak-Shreshtha01 が 18 日前に担当しました。 オープンkind/bug
難易度 2/5 1〜3時間 初心者へのやさしさ 74/100
kcp-dev/api-syncagent#163 ·
-
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
kcp-dev/api-syncagent#161 ·
-
feature: sync related resource status independently of origin対応中かも @arfevrier が 13 日前に担当しました。 オープンkind/feature
難易度 4/5 3〜5日 初心者へのやさしさ 48/100
kcp-dev/api-syncagent#193 ·
-
bug: failed sync controller prevents subsequent startup retries対応中かも @Sarthak-Shreshtha01 が 25 日前に担当しました。 オープンkind/bug
難易度 3/5 1〜2日 初心者へのやさしさ 20/100
kcp-dev/api-syncagent#190 · コメント 1 件 ·
-
bug: dangling schema in an APIExport is neither removed nor reported対応中かも このイシューにリンクされたプルリクエストがオープン中、またはマージ済みです。 オープン
難易度 4/5 3〜5日 初心者へのやさしさ 55/100
kcp-dev/api-syncagent#188 · コメント 1 件 ·
kcp-dev/api-syncagent の issue をすべて見る
似ている issue
-
難易度 2/5 1〜3時間 初心者へのやさしさ 62/100
router-for-me/CLIProxyAPI#7209 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 62/100
Azure/azure-storage-azcopy#3674 ·
メンテナーはふだん 1 日以内に返信
-
date_time, url_encode, html_escape, to_unix_time, contains_all and contains_any panic when called without arguments対応中かも @antcybersec が今日担当しました。 オープン
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
projectdiscovery/dsl#372 ·
メンテナーはふだん 1 日以内に返信
-
blocked-needs-validation
難易度 2/5 1〜3時間 初心者へのやさしさ 62/100
projectcapsule/capsule#2265 ·
メンテナーはふだん 1 日以内に返信
-
Remove "Model catalog refresh unavailable" warning from OpenRouter agent runs対応中かも @superplanehq-integration が今日担当しました。 オープンsuperplane
難易度 2/5 1〜3時間 初心者へのやさしさ 75/100
superplanehq/superplane#9164 ·
メンテナーはふだん 1 日以内に返信