Commissioning ve deploy ajanları region/rack ile düz HTTP konuşuyor. Sağlama ağında MITM: image_url ve sha256 aynı kanaldan geldiği için sahte imaj yazdırılabilir, user-data değiştirilebilir, ajanın gönderdiği BMC yönetici parolası görülür.
Yapılacak: rack controller'lar ajanlara HTTPS sunar (region CA'sından sertifika), CA parmak izi commissioning initrd'sine ve PXE komut satırına gömülür; ajanlar yalnızca HTTPS + sabit CA ile konuşur; deploy imajı da HTTPS üzerinden ya da region imzasıyla doğrulanır.
Commissioning ve deploy ajanları region/rack ile düz HTTP konuşuyor. Sağlama ağında MITM: image_url ve sha256 aynı kanaldan geldiği için sahte imaj yazdırılabilir, user-data değiştirilebilir, ajanın gönderdiği BMC yönetici parolası görülür.
Yapılacak: rack controller'lar ajanlara HTTPS sunar (region CA'sından sertifika), CA parmak izi commissioning initrd'sine ve PXE komut satırına gömülür; ajanlar yalnızca HTTPS + sabit CA ile konuşur; deploy imajı da HTTPS üzerinden ya da region imzasıyla doğrulanır.
ilker
added this to the v0.3.1 · güvenlik sertleştirme milestone 2026-10-29 21:14:54 +01:00
a9ca326, 97959af. Rack controller'lar region'dan kendi URL host'ları için sunucu sertifikası alıyor (CN rack-server:NAME, yalnızca ServerAuth, region'ın adresleri yasak) ve ajan uç noktalarını + imajları 443'te sunuyor; kayıtta bildirdikleri HTTPS URL yalnızca kendi host'larında kabul. PXE komut satırı rollcall.tls= ve rollcall.ca= taşıyor; embedded rack region'ın dinleyicisini kullanıyor. Ajanlar /ca.pem'i yalnızca parmak iziyle kabul edip HTTPS'e geçiyor (imaj indirme dahil), HTTP'ye geri düşmüyor; eski ajanlar HTTP ile devam. CLI rack sertifikasını region diye kabul etmiyor. Lab (yeni ajanlar imaja yamalandı): node002 rack2 üzerinden recommission + deploy: makineden 443'e 15 bağlantı (bmc-hint, commission, jobs/self, 11 progress, imaj), 80'e yalnızca squashfs ve /ca.pem; node001 region üzerinden deploy: 443'e 9, 80'e 2. Kalanlar: commissioning imajı yeni ajanlarla yeniden derlenip yayınlanmalı (lab'dakine yama yapıldı; yedek filesystem.squashfs.pre-tls); stateless imajların overlay istemcisi ve phone-home hâlâ HTTP; önyükleme zinciri (TFTP/kernel/initrd) için ayrı issue.
a9ca326, 97959af. Rack controller'lar region'dan kendi URL host'ları için sunucu sertifikası alıyor (CN rack-server:NAME, yalnızca ServerAuth, region'ın adresleri yasak) ve ajan uç noktalarını + imajları 443'te sunuyor; kayıtta bildirdikleri HTTPS URL yalnızca kendi host'larında kabul. PXE komut satırı rollcall.tls= ve rollcall.ca=<CA SHA-256> taşıyor; embedded rack region'ın dinleyicisini kullanıyor. Ajanlar /ca.pem'i yalnızca parmak iziyle kabul edip HTTPS'e geçiyor (imaj indirme dahil), HTTP'ye geri düşmüyor; eski ajanlar HTTP ile devam. CLI rack sertifikasını region diye kabul etmiyor. Lab (yeni ajanlar imaja yamalandı): node002 rack2 üzerinden recommission + deploy: makineden 443'e 15 bağlantı (bmc-hint, commission, jobs/self, 11 progress, imaj), 80'e yalnızca squashfs ve /ca.pem; node001 region üzerinden deploy: 443'e 9, 80'e 2. Kalanlar: commissioning imajı yeni ajanlarla yeniden derlenip yayınlanmalı (lab'dakine yama yapıldı; yedek filesystem.squashfs.pre-tls); stateless imajların overlay istemcisi ve phone-home hâlâ HTTP; önyükleme zinciri (TFTP/kernel/initrd) için ayrı issue.
Blocking a user prevents them from interacting with repositories, such as opening or commenting on pull requests or issues. Learn more about blocking a user.
Commissioning ve deploy ajanları region/rack ile düz HTTP konuşuyor. Sağlama ağında MITM: image_url ve sha256 aynı kanaldan geldiği için sahte imaj yazdırılabilir, user-data değiştirilebilir, ajanın gönderdiği BMC yönetici parolası görülür.
Yapılacak: rack controller'lar ajanlara HTTPS sunar (region CA'sından sertifika), CA parmak izi commissioning initrd'sine ve PXE komut satırına gömülür; ajanlar yalnızca HTTPS + sabit CA ile konuşur; deploy imajı da HTTPS üzerinden ya da region imzasıyla doğrulanır.
a9ca326,97959af. Rack controller'lar region'dan kendi URL host'ları için sunucu sertifikası alıyor (CN rack-server:NAME, yalnızca ServerAuth, region'ın adresleri yasak) ve ajan uç noktalarını + imajları 443'te sunuyor; kayıtta bildirdikleri HTTPS URL yalnızca kendi host'larında kabul. PXE komut satırı rollcall.tls= ve rollcall.ca= taşıyor; embedded rack region'ın dinleyicisini kullanıyor. Ajanlar /ca.pem'i yalnızca parmak iziyle kabul edip HTTPS'e geçiyor (imaj indirme dahil), HTTP'ye geri düşmüyor; eski ajanlar HTTP ile devam. CLI rack sertifikasını region diye kabul etmiyor. Lab (yeni ajanlar imaja yamalandı): node002 rack2 üzerinden recommission + deploy: makineden 443'e 15 bağlantı (bmc-hint, commission, jobs/self, 11 progress, imaj), 80'e yalnızca squashfs ve /ca.pem; node001 region üzerinden deploy: 443'e 9, 80'e 2. Kalanlar: commissioning imajı yeni ajanlarla yeniden derlenip yayınlanmalı (lab'dakine yama yapıldı; yedek filesystem.squashfs.pre-tls); stateless imajların overlay istemcisi ve phone-home hâlâ HTTP; önyükleme zinciri (TFTP/kernel/initrd) için ayrı issue.