kubernetes-sigs/cluster-api

Security Self Assessment: [STRIDE-SPOOF-4][STRIDE-SPOOF-5] Machine attestation for secure kubelet registration

Aberta

#3.762 aberto em 7 de out. de 2020

Ver no GitHubGuia do colaborador
 (15 comentários) (1 reação) (0 responsável)Go (1.532 forks)auto 404
area/securityhelp wantedkind/featurepriority/important-longtermsig/securitytriage/accepted

Métricas do repositório

Stars
 (4.267 estrelas)
Métricas de merge de PR
 (Métricas PR pendentes)

Description

User Story

As a security operator, I want to ensure developers who have access to create MachineDeployments are not able to gain access to data for workloads on a cluster they are not supposed to.

Detailed Description

kubeadm bootstrap tokens allow registration as arbitrary node names. GCP, EKS and Kops provide mechanisms to attest to the identity of a node such that they do not inadvertently get access to secrets and volumes not intended for that node. Provide a mechanism to resolve.

Anything else you would like to add:

[Miscellaneous information that will assist in solving the issue.]

/kind feature

Guia do colaborador

Direção de pesquisa
Pesquise o processo atual de registro do kubelet com tokens de inicialização e estude os métodos existentes de atestação de máquina nos provedores de nuvem (GCP, AWS, Azure). Proponha um design para integrar a atestação no fluxo de provisionamento de máquinas do Cluster API.
Pilha de tecnologia
go
Domain
security
Tipo Issue
Funcionalidade
DifficultyDificuldade de implementação estimada para um novo contribuidor, de 1 para alterações muito pequenas a 5 para trabalho de nível especializado.
4
Tempo estimadoUm intervalo de tempo aproximado para um colaborador experiente investigar, implementar, testar e preparar um pull request.
3-5 dias
Status da atividadeQuão disponível o issue aparece agora: novo, ativo, obsoleto, bloqueado ou aguardando entrada do mantenedor.
Antigo
ClarityCom que clareza o issue explica a mudança esperada, os critérios de aceitação e a próxima etapa.
Claro
Prerequisites
GoKubernetesSecurity
Simpatia para novatosUma pontuação de 1 a 100 que estima o quão acessível este issue é para colaboradores iniciantes.
20