<div dir="ltr"><div dir="ltr"><br></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">On Mon, Feb 13, 2023 at 2:30 AM Felix Hüttner <felix.huettner@mail.schwarz> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-style:solid;border-left-color:rgb(204,204,204);padding-left:1ex"><div class="msg8791633340744789861">





<div lang="DE" style="overflow-wrap: break-word;">
<div class="m_8791633340744789861WordSection1">
<p class="MsoNormal"><span>Hi,<u></u><u></u></span></p>
<p class="MsoNormal"><span><u></u> <u></u></span></p>
<p class="MsoNormal"><span lang="EN-US">while we are not using openstack helm I would jump in with our experience.<u></u><u></u></span></p>
<p class="MsoNormal"><span lang="EN-US"><u></u> <u></u></span></p>
<p class="MsoNormal"><span lang="EN-US">We are currently creating individual service users for each service (so 1 individual user for each nova-compute on each node) in order to make credential rotation a reasonable thing.
<u></u><u></u></span></p>
<p class="MsoNormal"><span lang="EN-US">That works flawlessly for us, so I would assume this should also work for openstack helm.</span></p></div></div></div></blockquote><div><br></div><div>That's pretty cool, I think our idea was that stage 1 is to use the same user for service, and stage 2 is perhaps integrating with something like Vault to generate dynamic credentials.</div><div> </div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-style:solid;border-left-color:rgb(204,204,204);padding-left:1ex"><div class="msg8791633340744789861"><div lang="DE" style="overflow-wrap: break-word;"><div class="m_8791633340744789861WordSection1">
<p class="MsoNormal"><span lang="EN-US">I honestly never understood why the openstack documentation recommends using the individual service users in the individual sections.<u></u><u></u></span></p>
<p class="MsoNormal"><span lang="EN-US">Using one user specific to each service is in my opinion a lot more intuitive and brings a bunch of security benefits.</span></p></div></div></div></blockquote><div><br></div><div>I agree, wonder where this started :)</div><div> </div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-style:solid;border-left-color:rgb(204,204,204);padding-left:1ex"><div class="msg8791633340744789861"><div lang="DE" style="overflow-wrap: break-word;"><div class="m_8791633340744789861WordSection1">
<p class="MsoNormal"><span lang="EN-US">--<u></u><u></u></span></p>
<p class="MsoNormal"><span lang="EN-US">Felix Huettner<u></u><u></u></span></p>
<p class="MsoNormal"><span lang="EN-US"><u></u> <u></u></span></p>
<div style="border-style:none none none solid;border-left-width:1.5pt;border-left-color:blue;padding:0cm 0cm 0cm 4pt">
<div>
<div style="border-style:solid none none;border-top-width:1pt;border-top-color:rgb(225,225,225);padding:3pt 0cm 0cm">
<p class="MsoNormal"><b>From:</b> Mohammed Naser <<a href="mailto:mnaser@vexxhost.com" target="_blank">mnaser@vexxhost.com</a>> <br>
<b>Sent:</b> Sunday, February 12, 2023 6:55 PM<br>
<b>To:</b> OpenStack Discuss <<a href="mailto:openstack-discuss@lists.openstack.org" target="_blank">openstack-discuss@lists.openstack.org</a>><br>
<b>Subject:</b> [openstack-helm] switching to using service's user for requests<u></u><u></u></p>
</div>
</div>
<p class="MsoNormal"><u></u> <u></u></p>
<div>
<p class="MsoNormal">Hi team,<u></u><u></u></p>
<div>
<p class="MsoNormal"><u></u> <u></u></p>
</div>
<div>
<p class="MsoNormal">I'm wondering if it makes sense for us to make a change in all of OpenStack Helm's code in order to make it use the service user for all requests.<u></u><u></u></p>
</div>
<div>
<p class="MsoNormal"><u></u> <u></u></p>
</div>
<div>
<p class="MsoNormal">For example, right now, we are using the placement user in the `[placement]` section in Neutron, or the Neutron user in the `[neutron]` section in Nova.  However, all of these users have the same<u></u><u></u></p>
</div>
<div>
<p class="MsoNormal">exact role and permissions, so I believe it would help a lot in locking down services (let's say placement gets compromised, you can lock it's user only).<u></u><u></u></p>
</div>
<div>
<p class="MsoNormal"><u></u> <u></u></p>
</div>
<div>
<p class="MsoNormal">I also think it will significantly simplify all of our code for endpoints for the different services, since we'll just be re-using the same credentials.<u></u><u></u></p>
</div>
<div>
<p class="MsoNormal"><u></u> <u></u></p>
</div>
<div>
<p class="MsoNormal">Let me know what everyone thinks.<u></u><u></u></p>
</div>
<div>
<p class="MsoNormal"><u></u> <u></u></p>
</div>
<div>
<p class="MsoNormal">Thanks,<u></u><u></u></p>
</div>
<div>
<p class="MsoNormal">Mohammed<u></u><u></u></p>
</div>
<div>
<div>
<p class="MsoNormal"><u></u> <u></u></p>
</div>
<p class="MsoNormal">-- <u></u><u></u></p>
<div>
<p class="MsoNormal">Mohammed Naser<br>
VEXXHOST, Inc.<u></u><u></u></p>
</div>
</div>
</div>
</div>
</div>
<p style="font-family:Calibri;font-size:11pt">Diese E Mail enthält möglicherweise vertrauliche Inhalte und ist nur für die Verwertung durch den vorgesehenen Empfänger bestimmt. Sollten Sie nicht der vorgesehene Empfänger sein, setzen Sie den Absender bitte
 unverzüglich in Kenntnis und löschen diese E Mail. Hinweise zum Datenschutz finden Sie
<a href="https://www.datenschutz.schwarz" target="_blank">hier</a>.</p>
</div>

</div></blockquote></div><br clear="all"><div><br></div>-- <br><div dir="ltr" class="gmail_signature">Mohammed Naser<br>VEXXHOST, Inc.</div></div>