Use mTLS instead of Kerberos for KRaft inter-node traffic
Maintainer thường phản hồi trong vòng 1 ngày
Đánh giá
Issue này chưa được đánh giá.
Mô tả
Description
With Kerberos enabled, the CONTROLLER listener currently uses SASL_SSL/GSSAPI. Brokers and controllers authenticate to each other with Kerberos principals (#1024). The INTERNAL listener already uses mTLS with the pod certificates of the internalSecretClass in every configuration.
Kerberos principals are a poor fit for identifying the Kafka nodes. With the default sasl.kerberos.principal.to.local.rules, every node principal maps to the same short name, so it can't be pinned to a specific node. Pod certificate subjects can.
Proposal:
- Make the CONTROLLER listener always SSL, and require client authentication when Kerberos, TLS client authentication or OPA is configured.
- Use Kerberos only on the client-facing broker listeners. Controllers get no keytab or JAAS configuration.
- Make super.users contain only the pod certificate subjects of the nodes.
Issue checklist
This is a simple checklist of things to bear in mind when creating a new issue.
- Describe the use-case: As far as possible, use the pattern "As a [type of user], I would like [feature/functionality] to be able to do [specific action]." This helps identify the feature and the problem it addresses.
- Indicate importance and urgency: Use a scale (e.g., low, medium, high) to indicate the level of importance and urgency.
- Work-around: If there is a known work-around, describe it briefly.
- Environment: Describe the environment where the issue occurs (e.g., SDP version, K8S version, etc.).
- Ngôn ngữ chính
- Rust
- Star
- 31
- Fork
- 9
- Merge trung bình
- 4 ngày 5 giờ
- Pull request đã merge (30 ngày)
- 14
Chuẩn bị môi trường
- Không có Dockerfile hay tệp Docker Compose
- Có mẫu pull request
- Không có hướng dẫn đóng góp
Bắt đầu từ đâu
- Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
- Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
- Fork repository và làm thay đổi trên một nhánh.
- Mở pull request có tham chiếu số hiệu của issue.
Issue khác của stackabletech/kafka-operator
-
KRaft: a new controller can bootstrap against itself and never join the quorumCó thể đã có người làm @razvan đã nhận 1 ngày trước. Đang mởtype/bug
stackabletech/kafka-operator#1062 · 1 người được giao ·
Maintainer thường phản hồi trong vòng 1 ngày
-
KRaft: adding a controller role group can bootstrap a second quorumCó thể đã có người làm @razvan đã nhận 1 ngày trước. Đang mởtype/bug
stackabletech/kafka-operator#1060 · 1 người được giao ·
Maintainer thường phản hồi trong vòng 1 ngày
-
Độ khó 4/5 3-5 ngày Mức phù hợp với người mới 30/100
stackabletech/kafka-operator#1059 ·
Maintainer thường phản hồi trong vòng 1 ngày
-
Độ khó 4/5 3-5 ngày Mức phù hợp với người mới 35/100
stackabletech/kafka-operator#1058 ·
Maintainer thường phản hồi trong vòng 1 ngày
-
type/bug
Độ khó 5/5 Hơn một tuần Mức phù hợp với người mới 35/100
stackabletech/kafka-operator#955 · 1 bình luận ·
Maintainer thường phản hồi trong vòng 1 ngày
Tất cả issue của stackabletech/kafka-operator
Issue tương tự
-
bug
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 82/100
storytold/photocraft#14822 ·
Maintainer thường phản hồi trong vòng 1 ngày
-
bug css
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 66/100
dginev/latexml-oxide#853 ·
Maintainer thường phản hồi trong vòng 1 ngày
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 62/100
Maintainer thường phản hồi trong vòng 2 ngày
-
[Bug] export_build_environment admits its output directory only after the export ran in the build computerCó thể đã có người làm @viniciusdsandrade đã nhận hôm nay. Đang mở
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 62/100
Maintainer thường phản hồi trong vòng 1 ngày
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 72/100
Maintainer thường phản hồi trong vòng 1 ngày