Security : move away from "cluster-admin" everywhere

Đang mở
  • Có gì không ổn?
#72 0 bình luận 3 reaction 0 người được giao Xem trên GitHub

Chưa có ai nhận issue này.

Đánh giá

Độ khó
5/5
Thời gian dự kiến
Hơn một tuần
Mức phù hợp với người mới
25/100
Loại issue
Tính năng
Độ rõ ràng
Khá rõ ràng
Mức độ hoạt động
Đình trệ
Công nghệ
helm, java, kubernetes
Lĩnh vực
authorization, infrastructure, security

Hướng nghiên cứu

Bắt đầu bằng cách lần theo các đường dẫn của Onyxia-api thực hiện các lệnh gọi kubectl và helm, cùng với quy trình onboarding tạo namespaces, quyền và tài khoản dịch vụ. Trước tiên, hãy lập bản đồ sự phụ thuộc hiện tại vào cluster-admin; được coi là hoàn tất khi onboarding sử dụng một danh tính riêng và các quyền cần thiết được giảm bớt hoặc tinh chỉnh một cách rõ ràng.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

security

Currently, Onyxia-api do everything (both kubectl and helm) using a single service account that is supposed to be cluster-admin.
Here are some improvements we could make :

  • Every regular kubectl and helm calls should be made using user's permissions
  • Onboarding (creating user's namespace, applying permissions ...) should be done using a separate service account and preferably done in another process / pod (externalize the onboarding process as a standalone API ?)
  • Try to reduce or at least refine and explicit permissions needed for the onboarding feature. Currently, it defaults to creating a cluster-admin service account which is probably too much
Ngôn ngữ chính
Java
Star
34
Fork
34
Merge trung bình
9 phút
Pull request đã merge (30 ngày)
4

Chuẩn bị môi trường

Dự án này không cung cấp dev container, Dockerfile hay hướng dẫn đóng góp, nên bạn cần tự thiết lập môi trường: hãy bắt đầu từ README và xem hướng dẫn đóng góp lần đầu của chúng tôi để biết các bước chung.

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của InseeFrLab/onyxia-api

Tất cả issue của InseeFrLab/onyxia-api

Issue tương tự

Thêm issue về Java

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.