NIFI 1.21.0集群多节点LDAP登录令牌无效问题排查求助

核心原因分析 #

这个错误本质是集群内不同NiFi节点使用了不一致的JWT签名密钥。单个节点运行时，生成和验证JWT用的是同一节点的密钥，因此登录正常；多节点部署后，负载均衡可能将请求分发到其他节点，而该节点没有生成JWT的那个节点的密钥，导致令牌验证失败。

具体排查与修复步骤 #

1. 确保所有节点使用完全一致的Keystore/Truststore #

• 检查每个NiFi容器的keystore.jks和truststore.jks文件是否完全相同：
  • 在容器内执行哈希校验命令：

    md5sum /opt/nifi/nifi-current/cert/keystore.jks
    md5sum /opt/nifi/nifi-current/cert/truststore.jks
    

  • 所有节点的这两个文件哈希值必须完全一致，禁止每个节点使用独立生成的证书文件。

2. 配置集群共享JWT签名密钥 #

NiFi 1.10+版本支持通过统一配置指定共享签名密钥，替代默认使用Keystore密钥的方式，确保所有节点用同一密钥签名/验证JWT：

• 在nifi.properties中添加或修改以下配置（所有节点必须完全一致）：

  nifi.security.jwt.signing.key=your-32bit+strong-random-secret
  nifi.security.jwt.signing.key.id=nifi-cluster-shared-key
  

  • 密钥需足够复杂，建议使用随机生成的32位以上字符串。

3. 验证集群节点与ZK的同步状态 #

• 检查ZK集群中NiFi节点的注册状态，确保所有节点都成功加入集群：
  • 通过ZK客户端执行命令：

    zkCli.sh -server <zk-node-ip>:2181 ls /nifi/cluster/nodes
    

  • 确认所有节点状态为CONNECTED，避免节点未完成集群同步导致的配置不一致。

4. 配置负载均衡会话粘性（临时缓解方案） #

如果使用K8s Ingress或其他负载均衡器，添加会话粘性配置，确保同一用户的请求始终分发到同一个NiFi节点：

• 以Nginx Ingress为例，在Ingress资源中添加注解：

  annotations:
    nginx.ingress.kubernetes.io/affinity: "cookie"
    nginx.ingress.kubernetes.io/session-cookie-name: "nifi-session"
    nginx.ingress.kubernetes.io/session-cookie-max-age: "172800"
  

5. 检查LDAP身份提供者配置一致性 #

• 确认所有节点的login-identity-providers.xml配置完全一致，特别是LDAP的连接参数、身份映射规则，避免因认证流程差异导致令牌生成不一致。

内容的提问来源于stack exchange，提问作者Jin Ma