envoyproxy/envoy

Duplicate custom_cert_validator config is not shared across all users

Open

#38.693 aberto em 10 de mar. de 2025

Ver no GitHub
 (2 comments) (0 reactions) (0 assignees)C++ (5.373 forks)batch import
area/certificatesarea/configurationenhancementhelp wanted

Métricas do repositório

Stars
 (27.997 stars)
Métricas de merge de PR
 (Mesclagem média 8d) (378 fundiu PRs em 30d)

Description

custom_cert_validator creates duplicate objects for every cluster / listener using it

Description: A proxy processing 100+ clusters takes up to 10 seconds to start up because it has to reload the same custom_cert_validator config being used by all of them.

Repro steps: Configure multiple clusters / listeners with the same custom_validator_config. Each one will be initialized with a unique copy of the config, and each unique copy will be fully processed independently.

Config: This validation context being used by multiple clusters. You can see from the debug logs that it is being parsed N times.

          validation_context:
            custom_validator_config:
              name: envoy.tls.cert_validator.spiffe
              typed_config:
                "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.SPIFFECertValidatorConfig
                trust_domains:
                - name: example.org
                  trust_bundle:
                    filename: "<bundle>"

Guia do colaborador

Direção de pesquisa
Investigue o caminho de carregamento de configuração para custom cert validator para encontrar onde ocorre a duplicação e proponha um mecanismo de desduplicação ou cache.
Pilha de tecnologia
cpp
Domain
backendinfrastructure
Tipo Issue
Bug
DifficultyDificuldade de implementação estimada para um novo contribuidor, de 1 para alterações muito pequenas a 5 para trabalho de nível especializado.
3
Tempo estimadoUm intervalo de tempo aproximado para um colaborador experiente investigar, implementar, testar e preparar um pull request.
3-5 dias
Status da atividadeQuão disponível o issue aparece agora: novo, ativo, obsoleto, bloqueado ou aguardando entrada do mantenedor.
Ativo
ClarityCom que clareza o issue explica a mudança esperada, os critérios de aceitação e a próxima etapa.
Claro
Prerequisites
C++Envoy internals
Simpatia para novatosUma pontuação de 1 a 100 que estima o quão acessível este issue é para colaboradores iniciantes.
30