Bitnami EJBCA 镜像文档

镜像概述和主要用途

Bitnami EJBCA 镜像是一个企业级PKI证书颁发机构(CA)软件的容器化部署方案。EJBCA基于Java (JEE)技术构建，提供完整的证书管理功能，适用于企业级PKI基础设施的搭建和管理。该镜像由Bitnami打包，旨在提供简单、安全且可靠的EJBCA部署方式。

核心功能和特性

• 完整的企业级PKI证书管理功能
• 基于Wildfly应用服务器运行
• 支持MySQL/MariaDB数据库后端
• 非root用户运行，增强安全性
• 内置数据持久化机制
• 可自定义的JVM参数配置
• 支持SMTP邮件通知功能
• 完整的TLS/SSL证书管理

使用场景和适用范围

• 企业内部PKI基础设施搭建
• 数字证书颁发和管理
• 安全网络服务部署
• 开发和测试环境中的证书需求
• 需要集中管理证书生命周期的场景
• 构建安全的身份验证系统

快速启动

docker run --name ejbca bitnami/ejbca:latest

警告：此快速设置仅适用于开发环境。建议修改不安全的默认凭据，并查看配置部分中的可用配置选项以进行更安全的部署。

获取镜像

获取Bitnami EJBCA Docker镜像的推荐方式是从Docker Hub Registry拉取预构建镜像：

docker pull bitnami/ejbca:latest

如需使用特定版本，可拉取带版本标签的镜像。可在Docker Hub Registry查看可用版本列表：

docker pull bitnami/ejbca:[TAG]

也可通过克隆仓库自行构建镜像：

git clone [***]
cd bitnami/ejbca/[VERSION]/[OPERATING-SYSTEM]
docker build -t bitnami/ejbca:latest .

使用方法

EJBCA需要访问MySQL或MariaDB数据库存储信息。以下示例使用Bitnami MariaDB镜像作为数据库后端。

使用Docker命令行

步骤1：创建网络

docker network create ejbca-network

步骤2：创建MariaDB数据卷并启动容器

docker volume create --name mariadb_data
docker run -d --name mariadb \
  --env ALLOW_EMPTY_PASSWORD=yes \
  --env MARIADB_USER=bn_ejbca \
  --env MARIADB_PASSWORD=Bitnami1234 \
  --env MARIADB_DATABASE=bitnami_ejbca \
  --network ejbca-network \
  --volume mariadb_data:/bitnami/mariadb \
  bitnami/mariadb:latest

步骤3：创建EJBCA数据卷并启动容器

docker volume create --name ejbca_data
docker run -d --name ejbca \
  -p 8080:8080 -p 8443:8443 \
  --env ALLOW_EMPTY_PASSWORD=yes \
  --env EJBCA_DATABASE_USERNAME=bn_ejbca \
  --env EJBCA_DATABASE_PASSWORD=Bitnami1234 \
  --env EJBCA_DATABASE_HOST=mariadb \
  --env EJBCA_DATABASE_NAME=bitnami_ejbca \
  --network ejbca-network \
  --volume ejbca_data:/bitnami/wildfly \
  bitnami/ejbca:latest

访问应用：[***]

使用Docker Compose

curl -sSL [***] > docker-compose.yml
docker-compose up -d

注意：此docker-compose.yml文件未经过全面测试，建议仅用于开发或测试目的。对于生产环境部署，强烈推荐使用相关的Bitnami Helm Chart。

数据持久化

为避免容器删除导致数据丢失，应挂载数据卷以持久化存储EJBCA数据。需挂载的路径为/bitnami/wildfly：

docker run \
    -v /path/to/ejbca-persistence:/bitnami/wildfly \
    bitnami/ejbca:latest

对于Docker Compose，修改配置文件如下：

   ejbca:
     ...
     volumes:
-      - wildfly_data:/bitnami/wildfly
+      - /path/to/ejbca-persistence:/bitnami/wildfly
   ...
-volumes:
-  ejbca_data:
-    driver: local

配置

环境变量

可自定义环境变量

只读环境变量

重要通知：Bitnami Catalog即将变更

自2025年8月28日起，Bitnami将改进其公共目录，通过新的Bitnami Secure Images计划提供精选的强化、安全聚焦的镜像。作为此过渡的一部分：

• 首次向社区用户提供流行容器镜像的安全优化版本访问权限
• Bitnami将开始在其免费层级中弃用对非强化的基于Debian的软件镜像的支持，并将逐步从公共目录中删除非最新标签。因此，社区用户将只能访问数量减少的强化镜像，这些镜像仅以"latest"标签发布，适用于开发目的
• 从8月28日开始，在两周内，所有现有容器镜像，包括旧版本或带版本的标签（例如2.50.0、10.6）将从公共目录(docker.io/bitnami)迁移到"Bitnami Legacy"仓库(docker.io/bitnamilegacy)，不再接收更新
• 对于生产工作负载和长期支持，建议用户采用Bitnami Secure Images，包括强化容器、更小的攻击面、CVE透明度（通过VEX/KEV）、SBOM和企业支持

这些变更旨在通过促进软件供应链完整性和最新部署的最佳实践，提高所有Bitnami用户的安全态势。更多详情，请访问Bitnami Secure Images公告。

为什么使用Bitnami Secure Images？

• Bitnami Secure Images和Helm图表旨在使开源软件更安全且企业就绪
• 使用行业标准漏洞可利用性交换(VEX)、KEV和EPSS分数，更快地分类安全漏洞，提高CVE风险透明度
• 强化镜像使用最小化操作系统(Photon Linux)，减少攻击面，同时通过行业标准包格式保持可扩展性
• 通过在 upstream 补丁发布后几小时内更新的持续构建镜像，保持更高的安全性和合规性
• Bitnami容器、虚拟机和云镜像使用相同的组件和配置方法，便于根据项目需求在不同格式之间切换
• 强化镜像附带证明签名(Notation)、SBOM、病毒扫描报告和其他元数据，在SLSA-3合规的软件工厂中生成

只有部分BSI应用程序可免费使用。如需访问完整的应用程序目录以及企业支持，可尝试Bitnami Secure Images商业版。

为什么使用非root容器？

非root容器镜像增加了额外的安全层，通常推荐用于生产环境。但是，由于它们以非root用户运行，通常无法执行特权任务。有关非root容器的更多信息，请参阅Bitnami文档。

支持的标签和相应的Dockerfile链接

有关Bitnami标记策略以及滚动标签和不可变标签之间差异的更多信息，请参阅文档页面。