- Spegnimento
- 23 settembre 2026 alle ore 12:08 UTC
- Autore
- Kamo
- Impegno
- 926986d
NATS funziona sulla rete host di k1m1 e ascolta 0.0.0.0, e la sua configurazione mappata ogni connessione senza credenziali all'account KAMO (no auth user: anon). Quindi qualsiasi baccello in qualsiasi namespace, la VM desktop e qualsiasi macchina sulla LAN potrebbero aprire 192.168.4.22:4222 senza password e abbonarsi a `>` o pubblicare nel traffico in tempo reale della piattaforma — chat, SMS, e-mail e eventi di presenza per ogni org. Verificato dal namespace del desktop: CONNECT {} ha risposto +OK / PONG. Una NetworkPolicy non può selezionare un pod hostNetwork, quindi la password deve sia il confine. Questa è la prima metà, non spezzante: - KAMO ottiene un vero utente, kamo svc. La sua password vive solo in Segreti (SECRETS.md); ogni password in nats.conf è ora un hash bcrypt — il ratetack uno mantiene il suo valore (i suoi clienti sono al di fuori di questo repo), sis è ruotato, kamo svc è nuovo. - anon e no auth user soggiorno per ora, contrassegnato TRANSITION, quindi clienti che non presentano le credenziali continuano a lavorare mentre vengono spostate. La seconda metà cancella entrambe una volta /connz?auth=1 non mostra alcun collegamento autorizzato come anon. - Il flusso-bootstrap Job autentica (il nats CLI legge NATS USER / NATS PASSWORD). - Il passo di distribuzione ora ricarica nats-server dopo una modifica di ConfigMap. Si leggeva il file solo all'inizio, così ogni config cambia silenziosamente aspettato per il prossimo riavvio. Applicato a mano prima di questo commit: il ConfigMap plus a reload ("Reloaded: account"), il tre Segreti, e NATS USERNAME / NATS PASSWORD aggiunto a ***. Checked live: kamo svc ottiene PONG, una password sbagliata ottiene Autorizzazione Violazione, e la 53 esistente le connessioni sono state up.