F
надеюсь не запутал?)
Size: a a a
2021 September 10
АС
Нет, не запутал, говоря о волте я имел в виду как раз хранение секретов для прикладных проектов
АС
Но спрятать определённые секреты от админов шифта довольно странный и интересный кейс. Даже теряюсь в догадках что бы можно было сделать. В тупую - дать им права admin только в ns openshift-* kube-* default, а cluster-admin отобрать
АС
Но любой из них сможет опять же получить cluster-admin по токену от одного из системных SA
АС
Может местные старожилы что-то предложат)
I
просто меняйте кластер админа согласно парольной политики , раз в 90 дней :)) 90 дней отработал , уволили )
АС
:DDDDDDDDDD
F
F
а если прятать секреты не от админов шифта. а от разработчиков ?
F
у них же тоже есть прав на просмотр их..
АС
У них есть ровно те права, которые им выданы. Отобрать права на get/list secrets и create pod/exec
АС
А вообще есть же ns openshift-config и глобальные креды для аутентификации в docker-registry, помнится, лежат в секрете в нём
АС
У разработчиков прав на NS openshift-* kube-* default быть в принципе не должно
F
т.е. как думаете возможно ли такое?
VR
а зачем им эти права?
F
они создаю сами свои секреты
F
помимо наших
АС
Так и пусть создают, выдайте им права на создание, патч и удаление секретов и отберите права на pod/exec
АС
Т.е. у них должна быть роль не self-provisioner, а ваша кастомная, которая подходит под требования безопасности
F
Спасибо большое! надо переварить все это )