Use mTLS instead of Kerberos for KRaft inter-node traffic
Maintainer antworten meist innerhalb von 1 Tag
Bewertung
Dieses Issue wurde noch nicht bewertet.
Beschreibung
Description
With Kerberos enabled, the CONTROLLER listener currently uses SASL_SSL/GSSAPI. Brokers and controllers authenticate to each other with Kerberos principals (#1024). The INTERNAL listener already uses mTLS with the pod certificates of the internalSecretClass in every configuration.
Kerberos principals are a poor fit for identifying the Kafka nodes. With the default sasl.kerberos.principal.to.local.rules, every node principal maps to the same short name, so it can't be pinned to a specific node. Pod certificate subjects can.
Proposal:
- Make the CONTROLLER listener always SSL, and require client authentication when Kerberos, TLS client authentication or OPA is configured.
- Use Kerberos only on the client-facing broker listeners. Controllers get no keytab or JAAS configuration.
- Make super.users contain only the pod certificate subjects of the nodes.
Issue checklist
This is a simple checklist of things to bear in mind when creating a new issue.
- Describe the use-case: As far as possible, use the pattern "As a [type of user], I would like [feature/functionality] to be able to do [specific action]." This helps identify the feature and the problem it addresses.
- Indicate importance and urgency: Use a scale (e.g., low, medium, high) to indicate the level of importance and urgency.
- Work-around: If there is a known work-around, describe it briefly.
- Environment: Describe the environment where the issue occurs (e.g., SDP version, K8S version, etc.).
- Vorherrschende Sprache
- Rust
- Sterne
- 31
- Forks
- 9
- Ø Merge
- 4 T. 5 Std.
- Gemergte PRs (30 T.)
- 14
Entwicklungsumgebung
- Kein Dockerfile und keine Docker-Compose-Datei
- Hat eine Pull-Request-Vorlage
- Kein Beitragsleitfaden
Erste Schritte
- Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
- Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
- Forken Sie das Repository und arbeiten Sie in einem Branch.
- Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.
Mehr aus stackabletech/kafka-operator
-
KRaft: a new controller can bootstrap against itself and never join the quorumEvtl. vergeben @razvan hat das vor 1 Tag übernommen. Offentype/bug
stackabletech/kafka-operator#1062 · 1 zugewiesene Person ·
Maintainer antworten meist innerhalb von 1 Tag
-
KRaft: adding a controller role group can bootstrap a second quorumEvtl. vergeben @razvan hat das vor 1 Tag übernommen. Offentype/bug
stackabletech/kafka-operator#1060 · 1 zugewiesene Person ·
Maintainer antworten meist innerhalb von 1 Tag
-
Schwierigkeit 4/5 3-5 Tage Anfängerfreundlichkeit 30/100
stackabletech/kafka-operator#1059 ·
Maintainer antworten meist innerhalb von 1 Tag
-
Schwierigkeit 4/5 3-5 Tage Anfängerfreundlichkeit 35/100
stackabletech/kafka-operator#1058 ·
Maintainer antworten meist innerhalb von 1 Tag
-
type/bug
Schwierigkeit 5/5 Über eine Woche Anfängerfreundlichkeit 35/100
stackabletech/kafka-operator#955 · 1 Kommentar ·
Maintainer antworten meist innerhalb von 1 Tag
Alle Issues in stackabletech/kafka-operator
Ähnliche Issues
-
[Bug]: opencode_go chat route drops reasoning_effort (even 'none'), while the same endpoint honors it via custom_llm_provider=openaiEvtl. vergeben @arvindkumar-ship-it hat das heute übernommen. Offenllm translation
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 70/100
BerriAI/litellm#51871 · 1 Kommentar ·
Maintainer antworten meist innerhalb von 1 Tag
-
comp-formats
Schwierigkeit 2/5 Ein halber Tag Anfängerfreundlichkeit 64/100
ClickHouse/ClickHouse#131694 ·
Maintainer antworten meist innerhalb von 1 Tag
-
cli: `execCargoMetadata` decodes stdout per chunk, corrupting non-ASCII paths across pipe boundariesOffen
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 68/100
Maintainer antworten meist innerhalb von 1 Tag
-
enhancement
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 72/100
Maintainer antworten meist innerhalb von 1 Tag
-
C-Bug S-Needs-Triage
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 72/100
bevyengine/bevy#26558 ·
Maintainer antworten meist innerhalb von 2 Tagen