Hacktoberfest 2026: những issue maintainer đã đánh dấu cho tháng Mười, đang mở và phù hợp người mới. Xem issue Hacktoberfest

gateway: no automatic CAA reconciliation loop

Đang mở
  • Có gì không ổn?
#1,010 0 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 1 ngày

Chưa có ai nhận issue này.

Đánh giá

Độ khó
4/5
Thời gian dự kiến
3-5 ngày
Mức phù hợp với người mới
48/100
Loại issue
Tính năng
Độ rõ ràng
Khá rõ ràng
Mức độ hoạt động
Ít trao đổi
Công nghệ
rust
Lĩnh vực
backend, networking

Hướng nghiên cứu

Theo dõi RotateAcmeCredentials, SetCaa, set_caa, set_caa_records và tác vụ định kỳ hiện có để gia hạn chứng chỉ. Bắt đầu bằng việc tìm hiểu cách lấy các giá trị accounturi đã công bố và các miền ZT, sau đó xác minh rằng quá trình reconciliation kiểm tra các bản ghi CAA và thử lại các miền không khớp. Hoàn thành khi các lần xoay một phần, sự lệch danh sách miền và các bản ghi guard còn sót lại hội tụ mà không cần chạy lại SetCaa thủ công, đồng thời chi phí đọc DNS được định lượng.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

Follow-up to #935.

Two paths currently rely on an operator manually rerunning SetCaa to converge:

  1. Partial rotation failure — RotateAcmeCredentials publishes the new credentials first, then re-pins CAA best-effort per domain. Domains that fail stay pinned to the old account until SetCaa is rerun; issuance for them fails CAA while existing certs keep serving, so the breakage can stay invisible for up to ~90 days.
  2. Domain-list skew — rotation and SetCaa iterate the local WaveKV snapshot. A ZT domain added on another node but not yet synced is silently skipped and stays pinned to the old account.

Certificate renewal has a periodic task that retries until it converges; CAA has no equivalent.

Proposal

Add a periodic reconciliation pass (piggybacking on the existing renewal loop) that:

  • reads the published credential's accounturi;
  • for each ZT domain, checks whether the CAA issue/issuewild records pin that URI (DNS read only in the common case);
  • re-pins divergent domains via the existing set_caa path, logging loudly.

This removes both manual steps, converges the concurrent-rotation aftermath (#1008), and also cleans up leftover ; guard records from an interrupted set_caa_records run. Cost is N DNS reads per interval — quantify, but at renewal-loop frequency this is negligible.

Ngôn ngữ chính
Rust
Star
551
Fork
97
Merge trung bình
1 ngày 8 giờ
Pull request đã merge (30 ngày)
182

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của Dstack-TEE/dstack

Tất cả issue của Dstack-TEE/dstack

Issue tương tự

Thêm issue về Rust

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.