Use mTLS instead of Kerberos for KRaft inter-node traffic
Les mainteneurs répondent en général sous 1 jour
Évaluation
Cette issue n'a pas encore été évaluée.
Description
Description
With Kerberos enabled, the CONTROLLER listener currently uses SASL_SSL/GSSAPI. Brokers and controllers authenticate to each other with Kerberos principals (#1024). The INTERNAL listener already uses mTLS with the pod certificates of the internalSecretClass in every configuration.
Kerberos principals are a poor fit for identifying the Kafka nodes. With the default sasl.kerberos.principal.to.local.rules, every node principal maps to the same short name, so it can't be pinned to a specific node. Pod certificate subjects can.
Proposal:
- Make the CONTROLLER listener always SSL, and require client authentication when Kerberos, TLS client authentication or OPA is configured.
- Use Kerberos only on the client-facing broker listeners. Controllers get no keytab or JAAS configuration.
- Make super.users contain only the pod certificate subjects of the nodes.
Issue checklist
This is a simple checklist of things to bear in mind when creating a new issue.
- Describe the use-case: As far as possible, use the pattern "As a [type of user], I would like [feature/functionality] to be able to do [specific action]." This helps identify the feature and the problem it addresses.
- Indicate importance and urgency: Use a scale (e.g., low, medium, high) to indicate the level of importance and urgency.
- Work-around: If there is a known work-around, describe it briefly.
- Environment: Describe the environment where the issue occurs (e.g., SDP version, K8S version, etc.).
- Langage dominant
- Rust
- Étoiles
- 31
- Forks
- 9
- Merge moyen
- 4 j 5 h
- PR mergées (30 j)
- 14
Préparer son environnement
- Aucun Dockerfile ni fichier Docker Compose
- Propose un modèle de pull request
- Aucun guide de contribution
Par où commencer
- Lisez l'issue en entier, puis le guide de contribution du projet.
- Signalez en commentaire que vous la prenez — cela évite que deux personnes fassent le même travail.
- Forkez le dépôt et travaillez sur une branche.
- Ouvrez une pull request qui référence le numéro de l'issue.
Autres issues de stackabletech/kafka-operator
-
KRaft: a new controller can bootstrap against itself and never join the quorumPeut-être pris @razvan l’a pris il y a 1 jour. Ouvertetype/bug
stackabletech/kafka-operator#1062 · 1 personne assignée ·
Les mainteneurs répondent en général sous 1 jour
-
KRaft: adding a controller role group can bootstrap a second quorumPeut-être pris @razvan l’a pris il y a 1 jour. Ouvertetype/bug
stackabletech/kafka-operator#1060 · 1 personne assignée ·
Les mainteneurs répondent en général sous 1 jour
-
Difficulté 4/5 3-5 jours Accessibilité débutants 30/100
stackabletech/kafka-operator#1059 ·
Les mainteneurs répondent en général sous 1 jour
-
Difficulté 4/5 3-5 jours Accessibilité débutants 35/100
stackabletech/kafka-operator#1058 ·
Les mainteneurs répondent en général sous 1 jour
-
type/bug
Difficulté 5/5 Plus d'une semaine Accessibilité débutants 35/100
stackabletech/kafka-operator#955 · 1 commentaire ·
Les mainteneurs répondent en général sous 1 jour
Toutes les issues de stackabletech/kafka-operator
Issues similaires
-
comp-formats
Difficulté 2/5 Une demi-journée Accessibilité débutants 64/100
ClickHouse/ClickHouse#131694 ·
Les mainteneurs répondent en général sous 1 jour
-
cli: `execCargoMetadata` decodes stdout per chunk, corrupting non-ASCII paths across pipe boundariesOuverte
Difficulté 2/5 1-3 heures Accessibilité débutants 68/100
Les mainteneurs répondent en général sous 1 jour
-
enhancement
Difficulté 2/5 1-3 heures Accessibilité débutants 72/100
Les mainteneurs répondent en général sous 1 jour
-
Difficulté 2/5 1-3 heures Accessibilité débutants 68/100
Copperpour/Copperpour#500 ·
Les mainteneurs répondent en général sous 1 jour
-
state:triage-needed
Difficulté 1/5 1-3 heures Accessibilité débutants 78/100
Les mainteneurs répondent en général sous 1 jour