<div dir="ltr"><div>I am in favor of the idea to declare plugins one-by-one as they can be. Also +1 to adding the column on the plugin list on <a href="http://pulpproject.org">pulpproject.org</a> <a href="https://pulpproject.org/content-plugins/#pulp-3-content-plugins-information">here</a>. I like these ideas better than what I suggested because it doesn't push plugins to rush-to-implement rbac yet allows pulpcore and pulp_file to go ahead and do so with 3.7. Please share if there are additional thoughts and concerns, but the working plan I'm perceiving right now for 3.7 is to:<br></div><div><br></div><div>* enable rbac for pulpcore endpoints - I started an epic for all of these <a href="https://pulp.plan.io/issues/7338">https://pulp.plan.io/issues/7338</a> This is not complete, but give us an idea of where we're going. I will add to this epic and discuss before work begins.<br></div><div>* enable django-admin more widely for managing object level permissions. It will also be able to view all objects, but not modify or add model data (which would bypass the DRF serializers). This will come with this PR <a href="https://github.com/pulp/pulpcore/pull/838">https://github.com/pulp/pulpcore/pull/838</a> and goes with this issue <a href="https://pulp.plan.io/issues/7336">https://pulp.plan.io/issues/7336</a></div><div>* enable rbac for pulp_file endpoints - I stubbed out this epic here, I'll be adding to it <a href="https://pulp.plan.io/issues/7339">https://pulp.plan.io/issues/7339</a></div><div>* declare pulpcore itself multi-user safe, along with a new column on the plugins list page - <a href="https://pulp.plan.io/issues/7309">https://pulp.plan.io/issues/7309</a></div><div><br></div><div>More feedback, ideas, and concerns are welcome.<br></div></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">On Wed, Aug 12, 2020 at 7:32 AM Tatiana Tereshchenko <<a href="mailto:ttereshc@redhat.com" target="_blank">ttereshc@redhat.com</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><div dir="ltr"><div dir="ltr"><br></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">On Wed, Aug 12, 2020 at 12:34 PM Ina Panova <<a href="mailto:ipanova@redhat.com" target="_blank">ipanova@redhat.com</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><div dir="ltr"><div dir="ltr"><br clear="all"><div><div><div dir="ltr"><div dir="ltr"><div><div dir="ltr"><br><br>--------<br>Regards,<br><br>Ina Panova<br>Senior Software Engineer| Pulp| Red Hat Inc.<br><br>"Do not go where the path may lead,<br> go instead where there is no path and leave a trail."<br></div></div></div></div></div><br></div></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">On Tue, Aug 11, 2020 at 11:10 PM Brian Bouterse <<a href="mailto:bmbouter@redhat.com" target="_blank">bmbouter@redhat.com</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><div dir="ltr"><div>Pulpcore 3.6 adds RBAC machinery for plugins to enable RBAC with [0], but that hasn't happened broadly in plugins or pulpcore yet, so Pulp 3.6 is still not multi-user safe. I want us to discuss options and strategy for when can we declare Pulp multi-user safe.</div><div><br></div><div>My take is that, I think we should avoid a situation where no part of Pulp can be declared multi-user safe until every call in Pulp everywhere is multi-user safe. I think doing it plugin-by-plugin is a reasonable middle-ground. Alternatives to consider here would be great.<br></div></div></blockquote><div> </div><div>It might get tricky if we follow that path. I am not sure we can speak for all the plugins, especially the community plugins plans and timelines.</div><div>What about finding a middle ground and targeting " Pulpcore is multi-user safe 3.7+ with the following list of plugins", where the list will of plugins will be increasing with time.</div><div>I would not want to hit the bottleneck and wait with "Pulp is multi-user safe unless all plugins have rbac support".<br></div></div></div></blockquote><div> </div><div>+1, maybe it's worth adding a new column to our plugin table, "multi-user safe" - yes/no.<br></div><div> </div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><div dir="ltr"><div class="gmail_quote"><div></div><div> <br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><div dir="ltr"><div></div><div><br></div><div>Assuming a plugin-by-plugin approach, I'd like to propose a few things for discussion:<br></div><div><br></div><div>* pulpcore and pulp_file enable RBAC on all of their endpoints for 3.7<br></div><div>* pulpcore declare itself safe for multi-user use for 3.7 [1]<br></div><div>* all plugins discuss-and-communicate which release is their target to add RBAC support<br></div><div><br></div></div></blockquote><div>+1</div></div></div></blockquote><div>+1</div><div> </div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><div dir="ltr"><div class="gmail_quote"><div> <br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><div dir="ltr"><div></div><div>What do you think?</div><div><br></div><div>[0]: <a href="https://github.com/pulp/pulpcore/tree/master/docs/plugins/plugin-writer/concepts/rbac" target="_blank">https://github.com/pulp/pulpcore/tree/master/docs/plugins/plugin-writer/concepts/rbac</a></div><div>[1]: <a href="https://pulp.plan.io/issues/7309" target="_blank">https://pulp.plan.io/issues/7309</a></div><div><br></div><div>-Brian</div><div><br></div><div><br></div></div>
_______________________________________________<br>
Pulp-dev mailing list<br>
<a href="mailto:Pulp-dev@redhat.com" target="_blank">Pulp-dev@redhat.com</a><br>
<a href="https://www.redhat.com/mailman/listinfo/pulp-dev" rel="noreferrer" target="_blank">https://www.redhat.com/mailman/listinfo/pulp-dev</a><br>
</blockquote></div></div>
_______________________________________________<br>
Pulp-dev mailing list<br>
<a href="mailto:Pulp-dev@redhat.com" target="_blank">Pulp-dev@redhat.com</a><br>
<a href="https://www.redhat.com/mailman/listinfo/pulp-dev" rel="noreferrer" target="_blank">https://www.redhat.com/mailman/listinfo/pulp-dev</a><br>
</blockquote></div></div>
</blockquote></div>