[SOLVED] API Token Privilege Seperation scheint nicht zu funktionieren

[qupfer]

Hi, ein Konfigurationsfehler kann ich natürlich nicht ausschließen, aber ich habe den verdacht, dass die Zuweisung von Rechten nur auf einzelne API Token nicht (richtig) funktioniert.

Folgende Befehle aka Script nutze ich für den API Zugriff:

#!/bin/bash
jenkins_token=jenkins.ci@my.domain!dev
jenkins_secret=aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee
host=pve8.my.domain
curl -s -k -H "Authorization: PVEAPIToken=${jenkins_token}=${jenkins_secret}" "https://${host}:8006/api2/json/access/permissions"

und gibt mir {"data":{}} zurück.

Wie ich vorgegangen bin bzw. dachte, dass es funktionieren sollte(tm).

Ich habe in der Gui unter "Datacenter -> Permissions -> API Tokens" einen Token erstellt und "Privilege Seperation" aktiviert.
In der GUI auf "Show Permission" geklickt und sehe ein leeres Feld. Soweit ok.
Dann "Datacenter -> Permissions" und dort ADD -> API Token Permission.
Dort dann:
Path: /
API Token: jenkins.ci@my.domain!dev
Role: Administrator
Propagate: checked

Dann wieder zurück zu Datacenter -> Permissions -> API Tokens und dort wiederum Show Permissions. Nach wie vor leer und die API gibt mir weiterhin `{"data":{}}` zurück.

Besten Dank
Henning

PS: Version: 8.0.4

 

[fabian]

privilege separation heißt dass das API token jeweils ein subset der privileges vom zugehoerigen user kriegt. welche permissions hat denn der jenkis.ci@my.domain user in deinem fall?

 

[qupfer]

Besten Dank, dass war der Fehler. Der Nutzer selber hatte keine Berechtigung, wollte nur dem API Key welche geben.

 

[fabian]

das geht natuerlich nicht - sonst koennt ich mir ja durch erstellen eines tokens hoehere rechte geben

 

[qupfer]

das geht natuerlich nicht - sonst koennt ich mir ja durch erstellen eines tokens hoehere rechte geben

So natürlich finde ich das nicht.
Es spricht ja rein von der „Logik“ nichts dagegen, die Erstellung eines Tokens zu verweigern, wenn versucht wird höhere Rechte zu konfigurieren. Aber das ist jetzt Philosophie und hat nichts mehr mit dem Thema zu tun. Ich weiß jetzt wie es bei proximity implementiert ist. Das genügt mir