Hacktoberfest 2026: los issues que los mantenedores marcaron para octubre, abiertos y aptos para principiantes. Explorar issues de Hacktoberfest

Fix NiFi 2 clustering

Abierto
#809 0 comentarios 0 reacciones 0 asignados Ver en GitHub

Nadie ha tomado este issue todavía.

Evaluación

Dificultad
5/5
Tiempo estimado
Más de una semana
Aptitud para principiantes
15/100
Tipo de issue
Nueva funcionalidad
Claridad
Necesita aclaración
Estado de actividad
Estancado
Stack tecnológico
kubernetes
Área
authentication, distributed-systems, infrastructure

Línea de trabajo

Comienza investigando el uso compartido del estado y el comportamiento de JWT en todo el clúster de NiFi 2, incluido cómo se genera la clave de firma y cómo se utilizan las comprobaciones de nombre de host de SNI. Revisa también la ruta de autenticación de metrics. Se considera terminado cuando los tokens emitidos por el clúster funcionan en cualquier nodo sin sesiones persistentes y se han evaluado los cambios propuestos para SNI y metrics.

Escrito por el modelo de indexación a partir del texto del issue.

Descripción

epic size/XL type/security

Description

Currently, if you create a JWT token for a nifi node, you can only log into this specific node. This is apparently by design as explained in https://issues.apache.org/jira/browse/NIFI-7246.

The problem with this is that it forces sticky sessions (when using a load balancer) which defeats the purpose of using a stateless token.

This appears to exist because some NiFi state is not shares, so for some API calls you currently must connect to the applicable node.

Slightly relevant is that there are SNI checks (so that the server can verify that the client is connecting via the expected hostname). Presumably this was implemented due to the previously mentioned requirement for connecting to the correct node.

Proposed Solution

[!TIP]
As this is a specific problem of the product NiFi we think it might be useful to fix it upstream.

There are multiple parts to the overall solution:

  1. Fix NiFi 2's state sharing so that there is no longer a need to send requests to a specific node.
  2. Allow JWTs to be issued by a cluster wide issuer for a single audience so that the same token can be used on any node (thereby removing the need for sticky sessions).
  3. Additional nice-to-have's:
    • Remove the SNI hostname check (assuming it was only there as a protection mechanism for what was mentioned in the Description section).
    • Possibly remove authentication from metrics endpoints (and ideally run metrics on a different http server).

Unknowns

  • How is the JWT signing key currently generated?
  • Can the SNI check be removed once it doesn't matter which cluster node is connected to?
Lenguaje dominante
Rust
Estrellas
48
Forks
12
Merge medio
11 h 26 min
PR fusionados (30 d)
10

Guía de contribución

No hay ninguna guía de contribución indexada para este repositorio

Primeros pasos

  1. Lee el issue completo y luego la guía de contribución del proyecto.
  2. Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
  3. Haz un fork del repositorio y trabaja en una rama.
  4. Abre un pull request que haga referencia al número del issue.

Más de stackabletech/nifi-operator

Todos los issues de stackabletech/nifi-operator

Issues similares

Más issues de Rust

Recibe los nuevos issues en tu correo

Un resumen breve de issues de GitHub para principiantes.