EgressPolicy: option to add a credential header when the request has none

Đang mở
  • Có gì không ổn?
#3,306 0 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 1 ngày

Chưa có ai nhận issue này.

Đánh giá

Độ khó
4/5
Thời gian dự kiến
3-5 ngày
Mức phù hợp với người mới
55/100
Loại issue
Tính năng
Độ rõ ràng
Đặc tả rõ ràng
Mức độ hoạt động
Sôi nổi
Công nghệ
go, kubernetes, yaml
Lĩnh vực
backend-api-design, security

Hướng nghiên cứu

Start with substrate/cmd/atenet/internal/router/egress/credentials.go and docs/architecture/egress-policies.md, which the issue names. Trace how applyEffects handles a missing credential header and how destinations[].authentication is represented and validated; then check the egress policy tests. Done means an opt-in inject: Always adds the configured header when absent, replaces it when present, and leaves the default behavior unchanged.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

What we're trying to do

We run Kagent agents that work on a git repository. An agent's EgressPolicy
opens https://github.com with authentication that injects a GitHub token as
Authorization: Basic …, so the agent can git clone and git push without
the token ever entering the sandbox.

The problem

The egress gateway only replaces a credential header the request already
carries. It never adds a missing one (applyEffects in
substrate/cmd/atenet/internal/router/egress/credentials.go, and
docs/architecture/egress-policies.md). Plain git, npm, pip or curl send no
Authorization header, so the credential is never used.

Every client then has to be configured to send a placeholder:

  • A static placeholder (for example git's http.<url>.extraHeader) is sent
    on every request. Where the agent has no credential, the placeholder goes
    out unchanged. GitHub answers a bad credential with 401 even on public
    repositories, so anonymous clones break.
  • A placeholder that is sent only after a 401 (a git credential helper) works
    for git, but it's a shell snippet per client, and other clients have no
    equivalent.
  • Neither can be set per agent, because Kagent sets env per Harness, not per
    Agent or AgentTemplate.

Proposal

An opt-in setting on destinations[].authentication that makes the gateway
add the header when the request doesn't carry one, and still replace it when
it does. For example:

spec:
  destinations:
    - origin: https://github.com
      authentication:
        header: Authorization
        prefix: "Basic "
        secretKeyRef: {name: repo-token, key: git}
        inject: Always   # default: IfPresent (today's behavior)
  • The default stays as it is, so nothing changes for existing policies.
  • The gateway already writes the header with OVERWRITE_IF_EXISTS_OR_ADD, so
    this changes only the check that skips requests without the header.
  • authentication already requires an exact origin, so Always only covers
    hosts an administrator named explicitly.

With this, any client in the sandbox authenticates to an allowed origin
without configuration or placeholders. The credential still never enters the
sandbox.

Alternatives considered

  • Per-Agent env on AgentTemplate, which would let each agent get its own
    placeholder configuration. It's still per client, and it was deferred
    before.
  • Harness per credential set: it multiplies Harnesses and sandboxes for what
    is policy, not runtime.

Happy to contribute a PR if the direction is acceptable.

Ngôn ngữ chính
Go
Star
4.2k
Fork
890
Merge trung bình
1 ngày 10 giờ
Pull request đã merge (30 ngày)
171

Chuẩn bị môi trường

Mở trong Codespaces

Khởi chạy dev container của dự án ngay trên trình duyệt, bằng tài khoản GitHub của bạn.

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của kagent-dev/kagent

Tất cả issue của kagent-dev/kagent

Issue tương tự

Thêm issue về Go

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.