Argo CD Ephemeral Access in Action: Lessons Learned While Runnin... L.L. Almeida & K. Lamkin-Fulsher

Summary

Cette présentation explore l'extension d'accès éphémère d'Argo CD développée par Intuit pour améliorer la gestion des permissions dans un environnement de développement complexe. L'extension permet aux développeurs de demander des permissions temporaires de manière sécurisée et conforme, en garantissant le respect du principe de moindre privilège. Elle contribue également à une gestion simplifiée des demandes de changement en production. Intuit s'engage activement dans la communauté open-source, en contribuant à Argo CD et à d'autres projets, et en promouvant une approche collaborative pour résoudre les défis techniques.

Takeaways

• 😀 Introduction d'Argo CD et de l'extension Ephemeral Access pour améliorer la gestion des permissions dans les environnements de développement à grande échelle.
• 😀 Intuit est une entreprise de technologie financière qui opère à une échelle massive, avec plus de 50 instances Argo CD et 345 clusters Kubernetes.
• 😀 L'objectif principal de l'extension Ephemeral Access est de résoudre des problèmes comme la gestion des autorisations fines, les risques de sécurité et les changements non enregistrés.
• 😀 Les utilisateurs doivent avoir des rôles multiples, et l'extension facilite l'application de politiques de moindre privilège pour assurer que les bonnes personnes effectuent les bonnes actions.
• 😀 L'extension Ephemeral Access permet aux utilisateurs de demander un accès temporaire avec des rôles dynamiques, minimisant ainsi les permissions et améliorant la sécurité.
• 😀 Un des défis abordés était l'intégration de l'extension avec des systèmes de gestion de rôles externes et l'amélioration de l'expérience utilisateur dans l'interface Argo CD.
• 😀 Le processus d'accès est contrôlé par un plugin qui permet de dynamiser l'attribution des rôles et d'intégrer des flux de travail spécifiques à l'entreprise, garantissant la conformité et la sécurité.
• 😀 Un mécanisme de plugin est utilisé pour intégrer des API propriétaires et permettre la gestion de l'accès dans un environnement open-source, avec des opérations comme 'Grant access' et 'Revoke'.
• 😀 L'extension permet de limiter les actions de l'utilisateur en fonction de son rôle actuel et d'accorder des autorisations temporaires pour effectuer certaines actions spécifiques.
• 😀 L'intégration de la fonctionnalité conditionnelle permet de contrôler si l'extension est activée ou non en fonction des labels de l'application, afin de restreindre les actions dans des environnements sensibles comme la production.
• 😀 Les résultats montrent que 100% des changements de production via Argo CD sont désormais enregistrés avec une demande de modification, ce qui satisfait aux exigences de conformité et de sécurité.
• 😀 Intuit est très engagé dans la communauté open-source et contribue activement à plusieurs projets open-source, y compris Argo, tout en adoptant des technologies Cloud Native.

Q & A

Quel est l'objectif principal de l'extension d'accès éphémère dans Argo CD?

L'objectif principal de l'extension d'accès éphémère dans Argo CD est de résoudre des problèmes de permissions fines, de sécurité, de gel de déploiements non appliqués et de changements non enregistrés dans le processus de déploiement, tout en permettant aux développeurs de demander temporairement des accès privilégiés dans un environnement contrôlé.

Quelles sont les principales difficultés rencontrées par Inuits dans leur plateforme Argo CD?

Les principales difficultés rencontrées incluent des permissions manquantes ou insuffisantes, des risques de sécurité, des déploiements suspendus non validés, et des changements non enregistrés dans la plateforme de déploiement.

Pourquoi est-il important d'avoir une trace de toutes les actions effectuées dans Argo CD?

Il est essentiel d'enregistrer toutes les actions dans Argo CD, notamment pour répondre aux exigences de conformité, notamment pour les changements en production qui doivent être associés à une demande de changement, même si l'action est effectuée via l'interface utilisateur d'Argo CD.

Quels types d'actions sont les plus courantes dans Argo CD et nécessitent un contrôle?

Les actions les plus courantes incluent la suppression de ressources, telles que des pods ou des ensembles de répliques, qui nécessitent un contrôle précis des permissions pour éviter des actions potentiellement dangereuses effectuées par des développeurs non qualifiés.

Comment l'extension d'accès éphémère facilite-t-elle la gestion des permissions dans Argo CD?

L'extension permet aux utilisateurs de demander un accès temporaire pour effectuer certaines actions, en définissant des rôles avec des permissions spécifiques, ce qui permet de suivre les principes du moindre privilège tout en assurant la sécurité.

Quelles sont les nouvelles fonctionnalités de l'extension d'accès éphémère que Leo a présentées?

Les nouvelles fonctionnalités incluent la possibilité de gérer plusieurs rôles pour un utilisateur, de lier des rôles dynamiques à des groupes, et l'intégration de plugins pour gérer les demandes d'accès aux ressources de manière flexible et configurable.

Comment la fonction de plugin améliore-t-elle l'extension d'accès éphémère?

La fonction de plugin permet d'intégrer des processus personnalisés dans le flux de travail d'accès éphémère, notamment en exécutant des opérations comme la validation de demandes d'accès via des API propriétaires, tout en permettant une approche open-source et extensible.

Qu'est-ce que le 'contrôleur d'accès éphémère' et quel est son rôle?

Le contrôleur d'accès éphémère gère les demandes d'accès temporaires en assignant les rôles appropriés aux utilisateurs, et en s'assurant que ces accès sont retirés après un certain temps ou une action spécifique, garantissant ainsi une gestion sécurisée des privilèges.

Quel est le rôle des 'templates de rôle' et des 'liaisons d'accès' dans cette extension?

Les 'templates de rôle' définissent les politiques et les rôles associés aux actions d'un utilisateur, tandis que les 'liaisons d'accès' lient un utilisateur à un groupe, ce qui permet d'assigner dynamiquement des rôles en fonction des groupes de l'utilisateur dans Argo CD.

En quoi consiste la fonctionnalité 'extension conditionnelle' dans Argo CD?

L'extension conditionnelle permet de contrôler si l'extension d'accès éphémère est activée pour une application donnée, en se basant sur des labels spécifiques dans Argo CD. Cela permet de restreindre l'utilisation de cette fonctionnalité uniquement aux applications de production.