[5ym]

Talos に移って ssh で入るノードが無くなったので、手元の tools/t.ps1 から kubectl / talosctl / helm で直接繋げるようにする。

仕組み

tools/creds.sh が kubectl・talosctl・helm の名前で呼ばれ(本物は /usr/local/libexec/gitops/)、クラスタに繋ぐときだけ資格情報をコンテナの /dev/shm(tmpfs)に用意して KUBECONFIG / TALOSCONFIG で渡す。平文は手元のディスクにも .home/ にも残らない。

	読み取り用(既定)	管理者(tools/t.ps1 --admin …)
kubectl / helm	talos/secrets.yaml の Kubernetes の CA で entra:viewer の証明書をその場で作る(1 日)	SOPS 済みの talos/kubeconfig.yaml を復号
talosctl	Talos の CA で os:reader の証明書をその場で作る(1 日)	同じく os:admin

• 読み取り用の権限は bootstrap/apiserver/rbac.yaml にある entra:viewer のバインディング(view + readonly-extra。Secret は読めない)をそのまま使う。新しいマニフェストは足していない
• talosconfig は今までどおり保存しない(docs/decisions.md)
• --client・kustomize・helm template・talosctl gen など繋がないものや、--kubeconfig などを自分で渡したときは素通し(tools.yml の CI もこれ)
• talos/kubeconfig.yaml が無い・暗号化されていない・age 鍵が無いときは、それぞれ分かるメッセージで止まる
• .sops.yaml に talos/kubeconfig.yaml の規則、.gitignore に平文の kubeconfig / talosconfig

管理者の kubeconfig の入れ方(マージ後に手で)

tools/t.ps1 --admin sh -c 'talosctl kubeconfig /dev/shm/k && sops -e --filename-override talos/kubeconfig.yaml /dev/shm/k > talos/kubeconfig.yaml'
tools/t.ps1 --admin kubectl get nodes
git add talos/kubeconfig.yaml

確かめたこと(クラスタには繋いでいない)

• wslc でイメージを作り、ファイルや age 鍵が無いときのメッセージ、--client などの素通し
• コンテナの中で使い捨ての age 鍵と talosctl gen secrets を使い、talosconfig(talosctl config info で os:reader / os:admin、23 時間)と読み取り用 kubeconfig(openssl verify が CA で通る、O=entra:viewer、clientAuth)ができること。sops -e --filename-override talos/kubeconfig.yaml が .sops.yaml の規則に当たること、平文の talos/kubeconfig.yaml で止まること
• t.ps1 を Windows PowerShell 5.1 で構文解析・実行(--admin がコンテナに GITOPS_ADMIN=1 で届く、パイプも従来どおり)

🤖 Generated with Claude Code

https://claude.ai/code/session_017wBP4MK6j3oBwqbn95wZ8H

[claude]

Claude finished @5ym's task in 42s —— View job

---

レビュー結果

• 差分の確認(creds.sh / Dockerfile / t.ps1 / .sops.yaml / .gitignore)
• 不具合・セキュリティ・設計・テストの観点で確認

設計(平文をディスクに残さず tmpfs だけに置く、読み取り用は既存の entra:viewer を流用、--admin で明示的に切り替える)は良いと思います。Dockerfile、.sops.yaml、.gitignore、t.ps1 の --admin 処理に問題は見つかりませんでした。指摘は tools/creds.sh の 2 点で、どちらもインラインコメントに書きました。

指摘

1. mint の失敗が検知されない(tools/creds.sh 55–72 行): ( … ) || … の左辺ではサブシェル内の set -e が効きません。sops -d や openssl が失敗しても「証明書を作れなかった」にならず、空の証明書入りの kubeconfig / talosconfig が書かれます。最後に出力ファイルが空でないことを確認すると簡単に直せます。
2. helm の素通し判定が逆に倒れる(同 18–20 行 / 36 行): helm -n ns upgrade … では -n の値 ns がサブコマンドとして拾われ、資格情報なしで素通しになります。kubectl / talosctl は「繋ぐ側」に倒れるので問題ありません。

要確認

• 読み取り用の entra:viewer は Secret を読めません。helm はリリース情報を Secret に持つので、既定(読み取り用)の helm list/status/history/get は権限エラーになる可能性があります。意図どおりなら README に「helm は --admin が必要」と書いておくと親切です。
• -h や --client を引数のどこにあっても素通しにしています。kubectl exec pod -- cmd -h のような -- 以降の引数でも素通しになり、資格情報なしで実行されます。実害は小さいですが、意図どおりか確認してください。

テスト

自動テストはありません。PR 本文にある手動確認(openssl verify、talosctl config info など)は妥当です。上の 1 は「secrets.yaml が暗号化されていない」「age 鍵が違う」場合の手動確認でも見つけられるはずなので、その経路も確認してください。

[claude]

不具合(確度高): ( … ) || { …; die } の左辺では、サブシェルの中の set -e が無効になります(|| の左側は errexit が効かない、という POSIX の仕様)。そのため途中で失敗しても止まりません。

例: sops -d が失敗(鍵が違う・secrets.yaml が暗号化されていない等)しても、sops … | base64 -d のパイプは base64 -d の終了コード(0)になり、ca.crt は空のまま進みます。openssl x509 が落ちても c.crt が無いまま base64 -w0 のループに入り、最後の base64 -w0 "$w/ca.crt" >"$3.ca" が成功するのでサブシェルは 0 で終わります。結果「証明書を作れなかった」が出ず、空の証明書を埋めた kubeconfig / talosconfig が書かれ、後段で分かりにくい TLS エラーになります。

直し方の案: サブシェルの先頭で set -e し直しても || の中では効かないので、サブシェルを関数にせず mint 本体で && 連結にするか、各コマンドに || exit 1 を付ける。パイプは set -o pipefail(dash では不可)の代わりに一度ファイルへ出してから base64 -d する、など。最後に [ -s "$3.crt" ] && [ -s "$3.key" ] && [ -s "$3.ca" ] を確認するのが一番簡単です。

[claude]

不具合: コメントの「別の語を拾っても繋ぐ側に倒れるだけ」は kubectl / talosctl では成り立ちますが、helm では逆に倒れます(36 行目は一覧に無い語は pass)。helm -n monitoring upgrade … や helm --namespace x install … だと sub は monitoring / x になり、資格情報なしで素通し → localhost:8080 に繋ごうとして失敗します。値を取るフラグ(-n/--namespace/--kube-context 等)を飛ばすか、helm は「繋がないと分かっているもの(template, repo, pull, lint, package, show, dependency, version …)以外は繋ぐ」に反転させると安全です。

[claude]

Claude finished @5ym's task in 24s —— View job

---

レビュー結果(最新コミット 5885360 を含む)

前回の指摘 2 点は直っています。大きな問題は見つかりませんでした。

• mint の失敗検知: set +e の下でサブシェルを実行し、終了コードを受けてから見る形になりました。sops -d はパイプにせずファイルへ出しています。最後に .crt / .key / .ca が空でないことも確認していて、creds.sh:54-85 は意図どおり動くはずです。失敗時は $w(CA の鍵が入る)を消して $3.* も消しています。
• helm の判定: 「繋がないと分かっているもの」以外は繋ぐ側に倒れるので、helm -n ns upgrade は資格情報が付きます(creds.sh:38)。-- 以降を見なくなったので、kubectl exec pod -- cmd -h も素通しになりません。
• helm の権限: tools/README.md:64 に「helm list なども --admin が必要」と書かれていて、前回の要確認も解消しています。

軽微(要確認、直さなくてもよい)

• 並行実行での衝突: creds.sh:92 と creds.sh:105 の中間ファイル $out.c.* は PID を含みません。同じコンテナで kubectl … | kubectl … のように 2 つが同時に初回の証明書づくりに入ると、互いの $out.c.* を上書きしたり rm -f で消したりします。その場合は「証明書を作れなかった」で止まるだけで、壊れた kubeconfig は残りません(mv は原子的)。気になるなら $out.c.$$ にしてください。
• サブコマンド判定の取りこぼし: helm -n template upgrade のように、フラグの値がたまたま「繋がない語」と同じだと素通しします。実際にはまず起きません。

テスト

自動テストはありません。PR 本文の手動確認は妥当です。今回の修正に対しては、secrets.yaml が暗号化されていない場合と age 鍵が違う場合に「証明書を作れなかった」で止まることを、一度手で確かめてください。

[claude]

Claude finished @5ym's task in 23s —— View job

---

レビュー結果(最新コミット 12f9d5d まで)

問題は見つかりませんでした。前回までの指摘はすべて解消しています。

• mint の失敗検知: set +e の下でサブシェルを実行し、終了コードを受けてから見ています。復号結果は一度ファイルに出し、最後に .crt / .key / .ca が空でないことも確認しています。失敗時は $w と $3.* を消します(tools/creds.sh:54-85)。
• helm の判定: 「繋がないと分かっているもの」以外は繋ぐ側に倒れます。-- より後ろは見ないので、kubectl exec pod -- cmd -h も素通しになりません(creds.sh:21,27,38)。
• 並行実行: 中間ファイルは $out.c.$$ と $out.$$ で PID ごとに分かれています。最終ファイルは mv で原子的に置くので、壊れた kubeconfig は残りません(creds.sh:92-95,105-108)。
• helm の権限: tools/README.md:64 に「helm list なども --admin が必要」と書かれています。
• openssl x509 -not_before: OpenSSL 3.4 以降の機能です。ベースイメージは node:26.12.0-trixie-slim で、apt の openssl は 3.5 系のため問題ありません(tools/Dockerfile:11)。
• Dockerfile / .sops.yaml / .gitignore / t.ps1: 本物を libexec に移して creds.sh を同名で symlink する形、--admin を先頭だけ受ける処理、.sops.yaml の規則に問題はありません。

軽微(要確認、直さなくてもよい)

• サブコマンド判定の取りこぼし: helm -n template upgrade のように、フラグの値がたまたま「繋がない語」と同じだと素通しします。実際にはまず起きません。
• 読み取り用は境界ではない: 読み取り用の証明書も --admin も、同じ age 鍵と talos/secrets.yaml から作れます。そのため --admin は誤操作を防ぐためのもので、権限を分けるものではありません。PR 本文と README の書き方はそのように読めますが、意図どおりか確認してください。

テスト

自動テストはありません。PR 本文の手動確認は妥当です。次の 2 つの失敗経路は、一度手で確かめてください。

• secrets.yaml が暗号化されていないとき
• age 鍵が違うとき

どちらも「証明書を作れなかった」で止まり、/dev/shm/gitops に w.* や *.c.* が残らないはずです。

[claude]

Claude finished @5ym's task in 16s —— View job

---

レビュー結果(最新コミット 977099a まで)

問題は見つかりませんでした。tools/creds.sh を全体読み直しましたが、前回までの指摘はすべて解消しています。

• mint の失敗検知: set +e の下でサブシェルを実行し、終了コードを受けてから見ています。復号結果は一度ファイルに出し、最後に .crt / .key / .ca が空でないことも確認しています(creds.sh:57-84)。失敗時は $w と $3.* を消します。
• helm の判定: 「繋がないと分かっているもの」以外は繋ぐ側に倒れます(creds.sh:38)。-- より後ろは見ないので、kubectl exec pod -- cmd -h も素通しになりません(creds.sh:21,27)。
• 並行実行: 中間ファイルは $out.c.$$ と $out.$$ で PID ごとに分かれ、最終ファイルは mv で原子的に置きます(creds.sh:92-95,105-108)。
• --admin の位置づけ: tools/README.md に誤操作よけで権限の境界ではないと書かれています。

軽微(要確認、直さなくてもよい)

• 証明書の鍵が残る場合: creds.sh:93-94 と 106-107 の printf … && mv が失敗すると、set -e でそのまま終了し、$out.c.$$.*(1 日で切れるクライアント鍵)が /dev/shm に残ります。CA の鍵ではなく、tmpfs でコンテナと一緒に消えるので実害は小さいです。
• サブコマンド判定の取りこぼし: helm -n template upgrade のように、フラグの値がたまたま「繋がない語」と同じだと素通しします。実際にはまず起きません。

テスト

自動テストはありません。PR 本文の手動確認は妥当です。次の 2 つの失敗経路は、まだ手で確かめていなければ一度確認してください。

• secrets.yaml が暗号化されていないとき
• age 鍵が違うとき

どちらも「証明書を作れなかった」で止まり、/dev/shm/gitops に w.* や *.c.* が残らないはずです。