GKE? Не могу разрешить какой то рейндж адресов к мастеру, т.к. там нет адресов runner’ов, не могу понять как достучаться до кластера.
Так ты раннер внутрь кластера поставь
https://gitlab.com/gitlab-org/cluster-integration/gitlab-agent кажись то чт о тебе надо
спасибо, попробую
А если гитлаб тоже "приватный"?
Сделать впн между ними
я юзаю ZeroTier для связи между приватными сетями, вроде неплохо работает
Привет, Я тут ставил раннеры и понял, что для сборки образов мне нужно dind, а для этого надо привелегии контейнерам дать, не секъюрно получается?
Он сам передаёт Раннеру инфу, что образ собран и потом запускается джоба на деплой?
если билд заканчивается успехом, как и все джобы
Ну то есть ранер смотрит на него каким то образом. А какие ещё вариант есть? Или это самый нормальный ?
dind нормальный вариант тоже
Но там раннеры с привилегиями будут, не знаю на сколько это секъюрно
а какой вектор атаки?
везде только и трындят о несекьюрности привилегированных dind, но я так и не нашел ни частных случаев ни вообще в чем несекьюрность
Да все просто, нужно по пушу в репу билдить образ и раскатывать его в кубе, куб приватный, поэтому раннеры а него пихаю, вот и думаю как образа собирать
ну если ни у кого нет доступа на раннер и никто не закинет в репу всратый код, то все должно быть ок. Я канеш не сесурити опс)
У гитлаба есть
еще вариант - раннеры держать на одной нодгруппе кубера, а приложения на другой. Тогда привилегированность раннера не сильно влияет на секурити (щас конечно безопасники набегут и скажут, что это все равно страшная дырень)
имхо норм вариант к тому же можно технически эти группы нод в разные вланы(подсети) распихать и ваще все на файерволе порезать кроме нужных доступов куберу. (псп разные применить для продуктов что в кубере живут и для раннеров) и тп и тд - безопасность можно настроить так, что даже можно пройти pcidss с похожими кластерами (эт просто по опыту знаю) :)
если ломанут гитлаб, будет и так худо
ну вот и я про то же, то есть фактически пофиг на привилегии получается 🤷 а по юзабилити что лучше? просто гитлаб раннеры с динд или канико? Или что то еще есть?
Обсуждают сегодня