flyteorg/flyte

[V2] Secret value is showing in pod spec ENVVAR directly

Aberta

#7.824 aberto em 11 de ago. de 2026

Ver no GitHubGuia do colaborador
 (2 comentários) (0 reação) (1 responsável)Python (378 forks)batch import
flyte2good first issuehelp wanted

Métricas do repositório

Stars
 (3.705 estrelas)
Métricas de merge de PR
 (Mesclagem média 3d 8h) (114 fundiu PRs em 30d)

Description

Issue

When injecting a secret into task pod like this:

env = flyte.TaskEnvironment(
    name="hello_world",
    resources=flyte.Resources(cpu=1, memory="1Gi"),
    image=image,
    secrets=[
        flyte.Secret(key="my_secret", as_env_var="MY_SECRET_KEY"),
    ]
)

When getting pod spec with kubectl describe command, we will directly see the secret value in ENVVAR, which is not secure:

Suggestion

We use webhook to inject secret into task pod. We should insert EnvVarSource instead of EnvVar value directly

Guia do colaborador

Direção de pesquisa
Inspecione o código em embedded secret manager.go onde o EnvVar é construído para segredos e altere o para usar um EnvVarSource (como SecretKeyRef) em vez de definir o valor diretamente.
Pilha de tecnologia
gokubernetes
Domain
backendsecurity
Tipo Issue
Bug
DifficultyDificuldade de implementação estimada para um novo contribuidor, de 1 para alterações muito pequenas a 5 para trabalho de nível especializado.
2
Tempo estimadoUm intervalo de tempo aproximado para um colaborador experiente investigar, implementar, testar e preparar um pull request.
1-3 horas
Status da atividadeQuão disponível o issue aparece agora: novo, ativo, obsoleto, bloqueado ou aguardando entrada do mantenedor.
Ativo
ClarityCom que clareza o issue explica a mudança esperada, os critérios de aceitação e a próxima etapa.
Claro
Prerequisites
GitGoKubernetes
Simpatia para novatosUma pontuação de 1 a 100 que estima o quão acessível este issue é para colaboradores iniciantes.
75