VR
>не апдейтя его при каждом новом crd в кластере
это можно автоматизировать через mutating webhook, например
это можно автоматизировать через mutating webhook, например
Size: a a a
2021 September 14
R
😭 Поняла. Спасибо. Может можно тогда написать operator, который будет получать в cr, чему делать deny, делать get all resource types, и прописывать в этот несчастный role, исключая указанное
DG
если делать буквально так, то будет грантовано право эскалации прав, т.е. человеку будет можно создать роль/кластероль с нужными под\логс и получить доступ к логам:)
R
Понимаю, согласна, для юзера это плохо. Конкретно эта роль не для юзера, а для sa, с которым подключается к кластеру другой продукт. А в этом продукте ещё один свой слой защиты, не позволяющий абъюзит права такого вида escalations, короче говоря понимаю что криво и ужасно, но пока лучше решения не нашла
R
Речь о Argocd ui, в котором видны логи подов, на данный момент они не поддерживают выключение этой фичи. Собственно, пытаюсь у его sa, с которым он к кластеру подключается, и забрать permissions на эти логи. Я в Argocd открыла feature request пока что по любому. Может есть ещё идеи?
MS
Спасибо. Сохранил себе.
VK
Всем привет, кто сталкивался с такой проблемой?? Есть оператор Group Sync Operator, и там вышла версия 0.0.13, там внутри зашито что имедж берется не с открытого репозитория, а с redhat. Back-off pulling image registry.redhat.io/openshift4/ose-kube-rbac-proxy
Так выкатили, или redhat делает только по подписке?
Так выкатили, или redhat делает только по подписке?
VR
ругайся вот сюда - https://github.com/redhat-cop/namespace-configuration-operator/issues/118
MS
```There are plans to make arm64-compatible build of OKD```OKD on Raspberrypi confirmed? :)
VR
ну да, на 16ГБ RAM rPI
MS
жирно, ждём raspberry 5
2021 September 15
Z
https://turingpi.com/turing-pi-v2-is-here/
Вот вам в тему тогда на помечтать
Вот вам в тему тогда на помечтать
MS
Угу тоже жду. Эта платка и малинки мне не сильно нужны, но хочу :D
ВБ
Подскажите а можно ли как-то на уровне опеншифта резать доступ к приложению по внешним ip? Суть такова что есть приложение на которое хотелось бы пускать людей только из одной подсети, но по сети логично что не запретить иначе это будет на весь кластер действовать.
ВБ
metadata:
annotations:
haproxy.router.openshift.io/ip_whitelist: 180.5.61.153 192.168.1.0/24 10.0.0.0/8
Типо так вот в роут вайтлист прописать с нужной подсетью просто?
annotations:
haproxy.router.openshift.io/ip_whitelist: 180.5.61.153 192.168.1.0/24 10.0.0.0/8
Типо так вот в роут вайтлист прописать с нужной подсетью просто?
OS
На уровне балансировщика проще кмк
ВБ
Ну балансировшик в шифте хапроси и есть вроде, внешнего нет у нас
OS
Я про тот, что на ноды с роутерами и апи балансит и не часть openshift как такового
ВБ
У меня ленивый кластер опеншифта) установленный в вмвару по ipi методу, без внешних бастионов и балансировшиков ... Баланс трафика в нем как я понимаю хапрокси живущий на мастер нодах делает.