Hacktoberfest 2026: những issue maintainer đã đánh dấu cho tháng Mười, đang mở và phù hợp người mới. Xem issue Hacktoberfest

[Bug] il5/gke-hardened: shielded nodes, confidential nodes and the CIS SSH key setting never apply

Đang mở
  • Có gì không ổn?
#315 0 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 1 ngày

@digitalresistor đang làm issue này rồi.

Từ ngày 20/10/2026.

  • #311 của @digitalresistor — đang mở
  • #344 của @digitalresistor — đang mở

Đánh giá

Độ khó
3/5
Thời gian dự kiến
1-2 ngày
Mức phù hợp với người mới
67/100
Loại issue
Lỗi
Độ rõ ràng
Đặc tả rõ ràng
Mức độ hoạt động
Sôi nổi
Công nghệ
gcp, terraform
Lĩnh vực
cloud, infrastructure

Hướng nghiên cứu

Read blueprints/il5/gke-hardened/main.tf lines 150–175 alongside the enable_features and node_config types in modules/gke-cluster-standard-se/variables.tf. The issue describes moving confidential node, machine type, and metadata settings to the node pool created by module "cluster_nodepool" through modules/gke-nodepool. Run terraform plan and confirm shielded nodes are enabled and the intended node settings apply.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

Bug Framework - FedRAMP High Framework - IL5 Level of Effort - Low Priority - High Scope - Blueprint Scope - Module Security

Bug Description

The blueprints/il5/gke-hardened/main.tf file declares several CIS hardening settings that never reach the cluster:

  • enable_features.enable_shielded_nodes = true is a typo for shielded_nodes, so shielded nodes stay at the module default, false;
  • node_config.metadata.block-project-ssh-keys, node_config.machine_type and node_config.confidential_nodes are not attributes of the node_config type in modules/gke-cluster-standard-se, so Terraform silently discards them.

Environment and Deployment Context

  • Stellar Engine Version/Commit: main at commit 2b112119e
  • Deployment Type:
    • US Region Restricted (e.g., Access Policy constraint)
    • FedRAMP Moderate
    • FedRAMP High
    • DoD IL4
    • DoD IL5
    • Stand-alone / Custom
  • FAST Stage (if applicable):
    • Stage 0 (Bootstrap)
    • Stage 1 (Resource Management)
    • Stage 2 (Network Creation)
    • Stage 3 (Security and Audit)
  • Affected Component: blueprints/il5/gke-hardened, modules/gke-cluster-standard-se
  • Terraform Version: any; static analysis of the configuration
  • GCP Provider Version: any

Steps to Reproduce

  1. Read blueprints/il5/gke-hardened/main.tf, lines 150 to 175.
  2. Compare the attributes with the enable_features and node_config types in modules/gke-cluster-standard-se/variables.tf.
  3. Run terraform plan and inspect enable_shielded_nodes and the node configuration of the cluster.

Expected Behavior

The hardened cluster runs shielded and confidential nodes and blocks project-wide SSH keys, as the CIS Compliance Benchmark 4.3 and 4.11 comments in the file state.

Actual Behavior

The plan sets enable_shielded_nodes = false and applies none of the node settings.

Relevant Logs and Errors

No error appears, because Terraform discards object attributes that a variable type does not declare.

Additional Context

  • Set enable_features.shielded_nodes = true, which GKE applies as an in-place update.
  • Move confidential nodes, the machine type and the metadata to the node pool that module "cluster_nodepool" creates through modules/gke-nodepool.
  • The migration in #311 removes the discarded attributes, so that the configuration no longer suggests they apply, and leaves this fix here.
  • Relevant controls include NIST 800-53r5 SC-39 and CM-6.
Ngôn ngữ chính
HCL
Star
58
Fork
25
Merge trung bình
1 ngày 19 giờ
Pull request đã merge (30 ngày)
53

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của google/stellar-engine

Tất cả issue của google/stellar-engine

Issue tương tự

Thêm issue về Cloud

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.