[5ym]

管理者の kubectl / helm (tools/t.ps1 --admin) の kubeconfig を、git に置いた talos/kubeconfig.yaml (SOPS) から復号するのをやめ、読み取り用と同じく talos/secrets.yaml の Kubernetes の CA で system:masters の証明書 (1 日で切れる) をその場で作る。

• ファイルを置かないので、書き出し・暗号化・1 年ごとの作り直しが要らない。talosconfig を保存しない方針 (docs/decisions.md) にもそろう
• 最初は talosctl kubeconfig でもらう形にしたが、レビューの指摘どおり呼ぶたびに 1 年もつ (取り消せない) 管理者の証明書が出るので、1 日で切れる自前の証明書にした
• 開けられる範囲は変わらない (どちらも同じ age 鍵から作れる)
• .sops.yaml の talos/kubeconfig.yaml の規則と、README の入れ方を消す。平文の kubeconfig / talosconfig の .gitignore は残す

確かめたこと (main の checkout から、この creds.sh を差し込んで): --admin で kubectl auth can-i '*' '*' が yes、auth whoami のグループが system:masters、talosctl version が通る。読み取り用は auth can-i get secrets が no。

🤖 Generated with Claude Code

https://claude.ai/code/session_017wBP4MK6j3oBwqbn95wZ8H

[claude]

Claude finished @5ym's task in 24s —— View job

---

レビュー結果: 問題なし(軽微な確認事項のみ)

tools/creds.sh と関連ドキュメントの差分を読みました。

不具合

• talosconfig() への切り出しは、元の処理と同じです。$(talosconfig …) の中で mint が die しても、代入の終了コードで親が set -e により止まります。管理者側の tc=$(talosconfig admin) も || の文脈の外にあるので、同様に止まります。
• talosctl kubeconfig --force "$out.$$" は、存在しないパスへ書き出す使い方で問題ありません。失敗時は rm -f と die に流れます。
• sed による行き先の差し替えは、従来と同じ処理です。
• talos/kubeconfig.yaml への参照は、リポジトリ内にもう残っていません。.sops.yaml の規則、README、.gitignore のコメントがそろっています。

セキュリティ

• 平文は /dev/shm(tmpfs)にだけ置き、umask 077 も維持されています。
• git から暗号化済みの kubeconfig が無くなる分、管理資格情報の置き場が減ります。開けられる範囲は同じ age 鍵のままです。
• 要確認(軽微): talosctl kubeconfig は呼ぶたびに Talos の管理者証明書(system:masters 相当、有効期間は Talos 既定)を新しく作ります。コンテナと一緒に消えるので実害は小さいです。ただし --admin を使うたびに、期限の長い管理者証明書が 1 つずつ増えます。現在の想定で問題ないか、意図を確認してください。

設計・テスト

• 書き出し、暗号化、年次の作り直しの手順が要らなくなり、talosconfig を保存しない方針ともそろっています。
• 自動テストはありません。シェルスクリプトで、PR 本文に手元での確認結果(can-i、get nodes、行き先)が書かれているので十分だと考えます。

[claude]

Claude finished @5ym's task in 21s —— View job

---

レビュー結果: 問題なし(PR 本文の更新のみ要確認)

最新のコミット(10a5e6c)で方式が変わっているので、前回のレビューは今の差分には当てはまりません。tools/creds.sh と関連ドキュメントを読み直しました。

不具合

• 管理者の kubeconfig は、読み取り用と同じ mint k8s で /O=system:masters/CN=tools-admin の証明書を作ります。talosctl kubeconfig は呼んでいません。mint の失敗は die に流れ、set -e で止まります。
• kubeconfig の書き出しは役割ごとに分けた形です。$role は admin か readonly の固定値なので、printf の引数を展開しても問題ありません。context 名は読み取り用が従来と同じ readonly@doany で、変わっていません。
• talosconfig() への切り出しは元の処理と同じです。$(…) の中で mint が die しても、代入の終了コードで親が止まります。
• talos/kubeconfig.yaml への参照は残っていません。.sops.yaml、README、.gitignore のコメントがそろっています。

セキュリティ

• 平文は /dev/shm にだけ置き、umask 077 も維持されています。管理者の証明書は 1 日で切れます。
• 前回の「talosctl kubeconfig が長い証明書を毎回出す」という懸念は、この方式変更で解消しています。
• 要確認(軽微): system:masters の証明書は取り消せません。有効期間が 1 日なので許容できると考えます。secrets.yaml を開ける人なら CA の鍵そのものを持っているので、権限の範囲は変わりません。

設計・テスト

• 管理者用と読み取り用が 1 つの経路にまとまり、重複が減っています。
• 自動テストはありません。シェルスクリプトなので手元での確認が前提です。ただし、確認結果の記述が今の実装と合っていません(下記)。

要確認: PR 本文が古いです

• 本文は「os:admin の talosctl で talosctl kubeconfig をその場でもらう」と書いていますが、実装は CA から証明書を直接作る方式です。10a5e6c で変わっています。
• タイトルの「その場でもらう」と、「確かめたこと」も同じ状態です。「確かめたこと」は前の実装での結果に見えます。
• 今の実装で --admin の kubectl auth can-i '*' '*' と get nodes が通ることを、もう一度確かめて本文を直してください。
• 特に system:masters の証明書を kube-apiserver が受け付けるかは、この実装では未確認のはずです。読み取り用は同じ CA で通っているので、通る見込みは高いです。