[Feature Request]: [GSoC 2026] Managing the integrity of roles made by Terraform
维护者通常 1 天内回复
还没有人认领这个 Issue。
评估
- 难度
- 5/5
- 预计耗时
- 一周以上
- 新手友好度
- 38/100
- Issue 类型
- 功能
- 描述清晰度
- 需要澄清
- 活跃度
- 冷清
- 技术栈
- gcp, github-actions, python, terraform
调研方向
先阅读 .github/workflows/beam_Infrastructure_UsersPermissions.yml 和 iam.py，然后检查 Terraform 状态如何存储在 beam-terraform-infra-state GCS 后端中。定义应如何检测和纠正自定义角色的更改或删除，以及哪种 workflow 或 audit 行为能够证明完整性得到了维护。
由索引模型根据 Issue 内容生成。
描述
What would you like to happen?
Currently, the Apache Beam GCP infrastructure uses Terraform to manage IAM Custom Roles (e.g., beam_writer, beam_viewer). The deployment of these roles is handled by the .github/workflows/beam_Infrastructure_UsersPermissions.yml workflow, and the state is securely stored in a remote GCS backend (beam-terraform-infra-state).
There is currently no mechanism to guarantee the continuous integrity of these custom roles. If an administrator or a compromised account manually modifies a custom role directly in the Google Cloud Console (e.g., adding unauthorized permissions or deleting the role entirely), Terraform will not detect or correct this configuration drift until the next time a PR coincidentally updates the IAM files.
While our Python scripts (iam.py) audit user bindings on a daily schedule, the definitions of the custom roles themselves remain exposed to undetected out-of-band modifications.
Issue Priority
Priority: 2 (default / most feature requests should be filed as P2)
Issue Components
- Component: Python SDK
- Component: Java SDK
- Component: Go SDK
- Component: Typescript SDK
- Component: IO connector
- Component: Beam YAML
- Component: Beam examples
- Component: Beam playground
- Component: Beam katas
- Component: Website
- Component: Infrastructure
- Component: Spark Runner
- Component: Flink Runner
- Component: Prism Runner
- Component: Twister2 Runner
- Component: Hazelcast Jet Runner
- Component: Google Cloud Dataflow Runner
- 主要语言
- Java
- 星标
- 8.7k
- 派生
- 4.7k
- 平均合并
- 2 天 4 小时
- 30 天内合并 PR
- 278
环境准备
- 没有 Dockerfile 或 Docker Compose 文件
- 有 Pull Request 模板
- 阅读贡献指南
从这里开始
- 先读完整个 Issue，再读项目的贡献指南。
- 在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
- Fork 仓库，在一个分支上完成修改。
- 提交 Pull Request，并在描述里引用这个 Issue 编号。
apache/beam 的其他 Issue
-
[Feature Request]: Support Protobuf 7.x in Python SDK可能已有人在做 @sofiathoren 于 5 天前认领。 未关闭P2 python
难度 2/5 1-3 小时 新手友好度 62/100
维护者通常 1 天内回复
-
[Bug]: Row.toString throws for an ITERABLE field that is not backed by a List可能已有人在做 @PDGGK 于 66 天前认领。 未关闭java P3
难度 2/5 1-3 小时 新手友好度 76/100
维护者通常 1 天内回复
-
难度 2/5 1-3 小时 新手友好度 68/100
apache/beam#39624 · 2 个 reaction ·
维护者通常 1 天内回复
-
[Bug]: PubsubIO used in batch incorrect batch cutoff size可能已有人在做 @1fanwang 于 55 天前认领。 未关闭bug io P3 pinned pubsub
难度 2/5 1-3 小时 新手友好度 78/100
维护者通常 1 天内回复
-
build P3 sub-task
难度 1/5 1 小时以内 新手友好度 68/100
维护者通常 1 天内回复
相似的 Issue
-
status: waiting-for-triage
难度 2/5 1-3 小时 新手友好度 79/100
spring-projects/spring-ai#7206 ·
维护者通常 2 天内回复
-
bug ci sev-6
难度 2/5 1-3 小时 新手友好度 73/100
-
area/cli
难度 2/5 半天 新手友好度 78/100
quarkusio/quarkus#57623 · 1 条评论 ·
维护者通常 1 天内回复
-
难度 2/5 1-3 小时 新手友好度 72/100
jhipster/prettier-java#1113 ·
维护者通常 2 天内回复
-
bug follow-up lane:backlog
难度 2/5 1-3 小时 新手友好度 82/100
Sanne/incus-spawn#1576 · 1 条评论 ·
维护者通常 1 天内回复