kubernetes-sigs/cluster-api

Minimize RBAC roles for controllers

Aberta

#6.554 aberto em 26 de mai. de 2022

Ver no GitHubGuia do colaborador
 (14 comentários) (1 reação) (1 responsável)Go (1.532 forks)auto 404
help wantedkind/cleanuppriority/important-longtermtriage/accepted

Métricas do repositório

Stars
 (4.267 estrelas)
Métricas de merge de PR
 (Métricas PR pendentes)

Description

Following on from #https://github.com/kubernetes-sigs/cluster-api/pull/6510#discussion_r882538225

In Cluster API today we create RBAC manifests which are generated using kubebuilder tools. e.g.

https://github.com/kubernetes-sigs/cluster-api/blob/626ab4de03ef1e8f9b68e12bbfaf75e2cb0b4ffc/internal/controllers/clusterclass/clusterclass_controller.go#L42-L44

Many of our controllers seem to generate overly broad RBAC for themselves. e.g. many have the create verb when it is not used. Removing these roles should have no impact on functitonality, minimize the capabilities of our controllers from a security perspective, and make our RBAC manifests more descriptive about what our controllers are actually doing.

We should audit the following controllers to minimize their RBAC roles:

  • MachineHealthCheck
  • Machinepool
  • KubeadmConfig
  • ClusterResourceSet
  • Cluster
  • Machine
  • MachineDeployment
  • MachineSet
  • Topology/Cluster
  • ClusterClass

Guia do colaborador

Direção de pesquisa
Audite os marcadores RBAC de cada controlador listado no código. Para cada controlador, identifique as permissões RBAC (especialmente os verbos create, update, delete) e compare com o uso real. Remova quaisquer permissões desnecessárias. Use as anotações kubebuilder para modificar os manifestos RBAC.
Pilha de tecnologia
go
Domain
backendsecurity
Tipo Issue
Manutenção
DifficultyDificuldade de implementação estimada para um novo contribuidor, de 1 para alterações muito pequenas a 5 para trabalho de nível especializado.
2
Tempo estimadoUm intervalo de tempo aproximado para um colaborador experiente investigar, implementar, testar e preparar um pull request.
3-5 dias
Status da atividadeQuão disponível o issue aparece agora: novo, ativo, obsoleto, bloqueado ou aguardando entrada do mantenedor.
Ativo
ClarityCom que clareza o issue explica a mudança esperada, os critérios de aceitação e a próxima etapa.
Claro
Prerequisites
GoKubernetes RBACGit
Simpatia para novatosUma pontuação de 1 a 100 que estima o quão acessível este issue é para colaboradores iniciantes.
65