]> git-server-git.apps.pok.os.sepia.ceph.com Git - ceph.git/commit
rgw: swift: disable revocation thread if sleep == 0 || cache_size == 0 14501/head
authorMarcus Watts <mwatts@redhat.com>
Thu, 13 Apr 2017 09:33:55 +0000 (05:33 -0400)
committerMarcus Watts <mwatts@redhat.com>
Thu, 13 Apr 2017 20:36:18 +0000 (16:36 -0400)
commit003291a8cbca455c0e8731f66759395a0bb1f555
treeefce0a2aa8f94625e2df506ea0c65fa579a34564
parent4100803cfe973baa58e1c869b8ceaff24e86a31f
rgw: swift: disable revocation thread if sleep == 0 || cache_size == 0

Keystone tokens can be revoked.  This causes them to fail
validation.  However, in ceph, we cache them.  As long as
they're in the cache we trust them.  To find revoked tokens
there's a call OSI-PKI/revoked but that's only useful for
pki tokens.  Installations using fernet/uuid may not even
have the proper credentials to support the call, in which
case the call blows up in various ways filling up logs
with complaints.

This code makes the revocation thread optional; by disabling it,
the complaints go away.  A further fix is in the works
to use other more modern calls available in modern keystone
installations to properly deal with non-PKI/PKIZ tokens.

To disable the revocation thread, use at least one of these:
        rgw_keystone_token_cache_size = 0
using this will cause tokens to be validated on every call.
You may instead want to set
        rgw_keystone_revocation_interval = 0
using just this will disable the revocation thread,
but leaves the cache in use.  That avoids the extra
validation overhead, but means token revocation won't
work very well.

Fixes: http://tracker.ceph.com/issues/9493
Fixes: http://tracker.ceph.com/issues/19499
Signed-off-by: Marcus Watts <mwatts@redhat.com>
src/rgw/rgw_keystone.h