grachevko/home-ops
1
0
Fork 0
Code Issues Pull Requests 1 Actions 13 Packages Projects Releases Wiki Activity

feat(ai): mcp-k8s через ToolHive — read-only доступ агента к кластеру #14

Open
hermes wants to merge 2 commits from feat/mcp-k8s into main
pull from: feat/mcp-k8s
merge into: :main
Conversation 0 Commits 2 Files Changed 6
+120
2 Commits
Author SHA1 Message Date
hermes c2c9b273f2 fix(ai): mcp-k8s — containers/kubernetes-mcp-server вместо mkp
Flate / Flate - Success (pull_request) Blocked by required conditions
Details
Flate / Flate - Filter (pull_request) Successful in 5s
Details
Flate / Flate (pull_request) Successful in 17s
Details 
У mkp нет ни одного безопасного режима, только RBAC. У containers/kubernetes-mcp-server есть
штатный --read-only, --toolsets и denied_resources, официальный гайд по read-only SA и чарт.
Образ quay.io/containers/kubernetes_mcp_server:v0.0.66 с дайджестом (тег проверен в API quay).
RBAC: вместо самодельного списка — встроенная view (secrets в неё не входят) + отдельный
ClusterRole на кластерные объекты и метрики. Аргументы: --port 8080 --read-only --toolsets core.
 2026-09-17 23:17:35 +00:00
hermes c4cf3ba798 feat(ai): mcp-k8s через ToolHive (read-only RBAC)
Flate / Flate - Filter (pull_request) Successful in 5s
Details
Flate / Flate (pull_request) Successful in 18s
Details
Flate / Flate - Success (pull_request) Canceled after 0s
Details 
MCP-сервер k8s из реестра ToolHive: ghcr.io/stackloklabs/mkp/server:0.4.3, transport streamable-http.
Отдельный SA mcp-k8s и ClusterRole mcp-k8s-readonly (только get/list/watch).
Core-группа перечислена поимённо, чтобы не открывать secrets; остальные группы явным списком,
потому что apiGroups: [*] включает и core-группу. Наружу не выводим: без oidcConfigRef прокси
ToolHive неаутентифицирован.
 2026-09-17 23:10:17 +00:00