Je suis totalement d'accord avec toi sur le principe, un ClusterRole read-only donne effectivement une vue large sur le cluster, et dans un contexte multi-tenant strict ou en environnement très sensible, c'est un vrai sujet.
Cela dit, c'est le compromis assumé de Maintenant : un seul déploiement, zéro config, tu vois ton cluster en 30 secondes. Demander à l'utilisateur de déployer un agent par namespace, c'est exactement le genre de complexité opérationnelle que le projet cherche à éviter — et que la plupart des outils de monitoring K8s (Prometheus, Datadog, Grafana Agent...) évitent aussi d'ailleurs, pour les mêmes raisons.
En pratique, il y a déjà un filtrage par namespace configurable, tu peux restreindre Maintenant à un ou plusieurs namespaces spécifiques plutôt que de lui donner une vue cluster-wide. Dans ce cas un Role (namespace-scoped) suffit au lieu du ClusterRole.
Mais oui, pour les environnements avec des exigences d'isolation fortes, Maintenant n'est probablement pas le bon outil. Et c'est OK, le positionnement c'est les petites équipes et les déploiements raisonnables, pas les clusters multi-tenant enterprise.
[^] # Re: Cluster reader
Posté par Benjy33 (site web personnel) . En réponse à la dépêche Maintenant : monitorer toute sa stack Docker depuis un seul conteneur. Évalué à 3.
Je suis totalement d'accord avec toi sur le principe, un ClusterRole read-only donne effectivement une vue large sur le cluster, et dans un contexte multi-tenant strict ou en environnement très sensible, c'est un vrai sujet.
Cela dit, c'est le compromis assumé de Maintenant : un seul déploiement, zéro config, tu vois ton cluster en 30 secondes. Demander à l'utilisateur de déployer un agent par namespace, c'est exactement le genre de complexité opérationnelle que le projet cherche à éviter — et que la plupart des outils de monitoring K8s (Prometheus, Datadog, Grafana Agent...) évitent aussi d'ailleurs, pour les mêmes raisons.
En pratique, il y a déjà un filtrage par namespace configurable, tu peux restreindre Maintenant à un ou plusieurs namespaces spécifiques plutôt que de lui donner une vue cluster-wide. Dans ce cas un Role (namespace-scoped) suffit au lieu du ClusterRole.
Mais oui, pour les environnements avec des exigences d'isolation fortes, Maintenant n'est probablement pas le bon outil. Et c'est OK, le positionnement c'est les petites équipes et les déploiements raisonnables, pas les clusters multi-tenant enterprise.
Benjamin