<div dir="ltr"><br>--all-tenants would only be turned on if --tenant was specified, not a general default. Do you see that causing any problems for non trivial clouds?<br><div class="gmail_extra"><br></div><div class="gmail_extra">
Chris<br></div><div class="gmail_extra"><br><br><div class="gmail_quote">On Tue, Oct 15, 2013 at 7:26 PM, Robert Collins <span dir="ltr"><<a href="mailto:robertc@robertcollins.net" target="_blank">robertc@robertcollins.net</a>></span> wrote:<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">Please don't invert the bug though: if --all-tenants becomes the<br>
default nova server behaviour in v3, please ensure there is a<br>
--no-all-tenants to unbreak it for non-trivial clouds.<br>
<br>
Thanks!<br>
-Rob<br>
<div><div class="h5"><br>
On 15 October 2013 20:54, Lingxian Kong <<a href="mailto:anlin.kong@gmail.com">anlin.kong@gmail.com</a>> wrote:<br>
> then, what's the conclusion that we can begin to start?<br>
><br>
><br>
> 2013/10/15 Christopher Yeoh <<a href="mailto:cbkyeoh@gmail.com">cbkyeoh@gmail.com</a>><br>
>><br>
>> On Tue, Oct 15, 2013 at 10:25 AM, Caitlin Bestler<br>
>> <<a href="mailto:caitlin.bestler@nexenta.com">caitlin.bestler@nexenta.com</a>> wrote:<br>
>>><br>
>>> On 10/14/2013 8:37 AM, Ben Nemec wrote:<br>
>>>><br>
>>>> I agree that this needs to be fixed.  It's very counterintuitive, if<br>
>>>> nothing else (which is also my argument against requiring all-tenants<br>
>>>> for admin users in the first place).  The only question for me is<br>
>>>> whether to fix it in novaclient or in Nova itself.<br>
>>><br>
>>><br>
>>> If it is fixed in novaclient, then any unscrupulous tenant would be able<br>
>>> to unfix it in novaclient themselves and gain the same information about<br>
>>> other tenants that the bug is allowing.<br>
>>><br>
>>> So if the intent is to protect leakage of information across tenant lines<br>
>>> then the correct solution is a real lock (i.e. in Nova) rather<br>
>>> than just a screen door "lock".<br>
>>><br>
>><br>
>> The novaclient fix for V2 would be simply to automatically pass<br>
>> all-tenants where needed. It would not give a non admin user any extra<br>
>> privileges even if they modified novaclient.<br>
>><br>
>> Chris<br>
>><br>
>> _______________________________________________<br>
>> OpenStack-dev mailing list<br>
>> <a href="mailto:OpenStack-dev@lists.openstack.org">OpenStack-dev@lists.openstack.org</a><br>
>> <a href="http://lists.openstack.org/cgi-bin/mailman/listinfo/openstack-dev" target="_blank">http://lists.openstack.org/cgi-bin/mailman/listinfo/openstack-dev</a><br>
>><br>
><br>
><br>
><br>
> --<br>
> --------------------------------------------<br>
> Lingxian Kong<br>
> Huawei Technologies Co.,LTD.<br>
> IT Product Line CloudOS PDU<br>
> China, Xi'an<br>
> Mobile: <a href="tel:%2B86-18602962792" value="+8618602962792">+86-18602962792</a><br>
> Email: <a href="mailto:konglingxian@huawei.com">konglingxian@huawei.com</a>; <a href="mailto:anlin.kong@gmail.com">anlin.kong@gmail.com</a><br>
><br>
> _______________________________________________<br>
> OpenStack-dev mailing list<br>
> <a href="mailto:OpenStack-dev@lists.openstack.org">OpenStack-dev@lists.openstack.org</a><br>
> <a href="http://lists.openstack.org/cgi-bin/mailman/listinfo/openstack-dev" target="_blank">http://lists.openstack.org/cgi-bin/mailman/listinfo/openstack-dev</a><br>
><br>
<br>
<br>
<br>
--<br>
</div></div>Robert Collins <<a href="mailto:rbtcollins@hp.com">rbtcollins@hp.com</a>><br>
Distinguished Technologist<br>
HP Converged Cloud<br>
<div class="HOEnZb"><div class="h5"><br>
_______________________________________________<br>
OpenStack-dev mailing list<br>
<a href="mailto:OpenStack-dev@lists.openstack.org">OpenStack-dev@lists.openstack.org</a><br>
<a href="http://lists.openstack.org/cgi-bin/mailman/listinfo/openstack-dev" target="_blank">http://lists.openstack.org/cgi-bin/mailman/listinfo/openstack-dev</a><br>
</div></div></blockquote></div><br></div></div>