<div dir="ltr"><br><div class="gmail_extra"><div class="gmail_quote">On Wed, Sep 11, 2013 at 10:25 PM, Jamie Lennox <span dir="ltr"><<a href="mailto:jlennox@redhat.com" target="_blank">jlennox@redhat.com</a>></span> wrote:<br>
<blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex">With the aim of replacing httplib and cert validation with requests[1]<br>

I've put forward the following review to use the requests library for<br>
auth_token middleware.<br>
<br>
<a href="https://review.openstack.org/#/c/34161/" target="_blank">https://review.openstack.org/#/c/34161/</a><br>
<br>
This adds 2 new config options.<br>
- The ability to provide CAs to validate https connections against.<br>
- The ability to set insecure to ignore https validation.<br>
<br>
By default request will validate connections against the system CAs by<br>
default. So given that we currently don't verify SSL connections, do we<br>
need to default insecure to true?<br></blockquote><div><br></div><div>I vote no; and yes to "secure by default."</div><div> </div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex">

<br>
Maintaining compatibility should win here as i imagine there are a great<br>
number of auth_token deployments using SSL with invalid/self-signed<br>
certificates that would be broken, but defaulting to insecure just seems<br>
wrong.<br>
<br>
Given that keystone isn't the only project moving away from httplib, how<br>
are other projects handling this?</blockquote><div><br></div><div>The last time keystoneclient made this same change (thanks Dean!), we provided no warning:</div><div><br></div><div>  <a href="https://review.openstack.org/#/c/17624/">https://review.openstack.org/#/c/17624/</a></div>
<div><br></div><div>Which added the --insecure flag to opt back into the old behavior.</div><div><br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex">
How do we end up with reasonable<br>
defaults? Is there any amount of warning that we could give to change a<br>
default like this - or is this another one of those version 1.0 issues?<br>
<br>
<br>
Jamie<br>
<br>
<br>
<br>
[1] <a href="https://bugs.launchpad.net/keystone/+bug/1188189" target="_blank">https://bugs.launchpad.net/keystone/+bug/1188189</a><br>
<br>
<br>
_______________________________________________<br>
OpenStack-dev mailing list<br>
<a href="mailto:OpenStack-dev@lists.openstack.org">OpenStack-dev@lists.openstack.org</a><br>
<a href="http://lists.openstack.org/cgi-bin/mailman/listinfo/openstack-dev" target="_blank">http://lists.openstack.org/cgi-bin/mailman/listinfo/openstack-dev</a><br>
</blockquote></div><br><br clear="all"><div><br></div>-- <br><div><br></div>-Dolph
</div></div>