Support isolated rootless builder jobs on Kind without relaxing worker security
Ninguém assumiu esta issue ainda.
Avaliação
- Dificuldade
- 5/5
- Tempo estimado
- Mais de uma semana
- Facilidade para iniciantes
- 8/100
- Tipo de issue
- Bug
- Clareza
- Precisa de esclarecimento
- Status de atividade
- Ativa
- Stack de tecnologia
- docker, kubernetes, linux
- Domínio
- devops, infrastructure, security
Direção de pesquisa
The payload names no repository files, so start from the reproduction: a minimal BusyBox pod with hostUsers: false on Kind 0.30.0 that fails with the sysfs mount error. Read the linked kind issue #3436 and the two backport PRs to see what is already decided. Done means a valid build completes and pushes to the lab registry while the worker security settings stay enabled, which requires maintainer design input first.
Escrita pelo modelo de indexação a partir do texto da issue.
Descrição
The 0.9.0 builder security backport retains Kubernetes user namespaces (hostUsers: false), a non-privileged rootless worker, no service-account token and the BuildKit process sandbox. Kind must support legitimate builds without disabling those protections.
In an isolated lab with Kind 0.30.0, Kubernetes 1.33.1, containerd 2.1.1 and Linux 6.8.0-146, a valid build is accepted but fails before the worker starts: mounting sysfs ... operation not permitted. A minimal BusyBox pod with hostUsers: false reproduces it; the equivalent ordinary pod succeeds.
Related upstream investigation: https://github.com/kubernetes-sigs/kind/issues/3436.
An initial read-only sysfs mount inside the Kind node clears the sandbox mount failure and exposes a second error: /kind/bin/mount-product-files.sh: permission denied; the node's /kind directory is mode 0644. This is still under test, not a completed compatibility fix.
Acceptance: a valid base-image and dependency build completes and pushes to the authenticated lab registry; the resulting image can run an action; malformed and cross-tenant targets remain rejected; worker user namespaces, non-privileged mode, token exclusion and process sandbox remain enabled. Node setup must be repeatable and survive node restart without granting workers access to the host Docker socket or host paths.
Related security backports:
- Linguagem predominante
- Python
- Estrelas
- 577
- Forks
- 29
- Merge médio
- 3d 39min
- PRs com merge (30d)
- 5
Preparar o ambiente
- Sem Dockerfile nem arquivo Docker Compose
- Tem um modelo de pull request
- Ler o guia de contribuição
Primeiros passos
- Leia a issue inteira e depois o guia de contribuição do projeto.
- Comente na issue dizendo que vai assumir — evita que duas pessoas façam o mesmo trabalho.
- Faça um fork do repositório e trabalhe em uma branch.
- Abra um pull request que referencie o número da issue.
Mais de apache/openserverless
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 85/100
apache/openserverless#269 ·
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 84/100
apache/openserverless#267 ·
-
Dificuldade 4/5 1-2 dias Facilidade para iniciantes 42/100
apache/openserverless#271 · 7 comentários ·
-
Dificuldade 5/5 Mais de uma semana Facilidade para iniciantes 35/100
apache/openserverless#268 ·
-
enhancement
Dificuldade 5/5 Mais de uma semana Facilidade para iniciantes 25/100
apache/openserverless#215 ·
Todas as issues de apache/openserverless
Issues semelhantes
-
Dificuldade 1/5 Menos de uma hora Facilidade para iniciantes 82/100
EchoTools/nevr-runtime#651 ·
Mantenedores costumam responder em até 1 dia
-
bug frontend rt sev-3
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 72/100
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 68/100
Mantenedores costumam responder em até 2 dias
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 65/100
noontide-co/mainbranch#1211 · 1 comentário ·
Mantenedores costumam responder em até 1 dia
-
[1.x Bug] run-operation --sql reports success but rolls back writes on transaction-capable adaptersAbertatriage
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 64/100
dbt-labs/dbt#16784 · 1 comentário ·
Mantenedores costumam responder em até 1 dia