stackabletech / stackabletech/secret-operator
SecretClass access control
Dieses Issue hat noch niemand übernommen.
- Vorherrschende Sprache
- Rust
- Sterne
- 13
- Forks
- 8
- Ø Merge
- 1 T. 8 Std.
- Gemergte PRs (30 T.)
- 10
Beschreibung
We should have a way to control who's allowed to mount which SecretClass.
It's not really practical to control based on the deploying user, because the idea of a "source user" in the first place is about as clear as mud in K8s (the end user creating the StatefulSet? The controller creating the Pod from that? The controller creating the PersistentVolumeClaim from that? The controller creating the PersistentVolume from that?).
The best we could do would probably be to allowlist individual target Namespaces.
This is theoretically already possible via a K8s admission hook like OPA; we should either implement something native or document how to accomplish it using one of those.
Beitragsleitfaden
Für dieses Repository ist kein Beitragsleitfaden indexiert
Erste Schritte
- Lies das ganze Issue und danach den Beitragsleitfaden des Projekts.
- Schreib ins Issue, dass du es übernimmst — das erspart doppelte Arbeit.
- Forke das Repository und arbeite in einem Branch.
- Öffne einen Pull Request, der die Issue-Nummer nennt.
Rechercherichtung
Beginne mit den Kubernetes-Erweiterungspunkten für die Admission Control und der verknüpften OPA-Kubernetes-Dokumentation. Kläre, ob das Projekt eine native Zugriffskontrolle für SecretClass bereitstellen oder einen admission-hook-Ansatz dokumentieren sollte, und lege fest, wie eine Allowlist der Ziel-Namespaces funktionieren würde. Erledigt ist dies, wenn der gewählte Ansatz und sein Umfang ausdrücklich festgelegt sind.
Vom Indexierungsmodell aus dem Issue-Text verfasst.
Bewertung
- Tech-Stack
- kubernetes
- Bereich
- authorization, security
- Issue-Typ
- Feature
- Schwierigkeit
- 5/5
- Geschätzter Aufwand
- Über eine Woche
- Aktivitätsstatus
- Veraltet
- Klarheit
- Muss geklärt werden
- Anfängerfreundlichkeit
- 25/100