bladepipe/cgdm-sidecar

CloudDM Sidecar

CloudDM Sidecar是CloudDM集群模式中的执行节点组件，负责远程数据库访问和任务执行，适用于多网络区域、跨数据中心部署及受限网络环境。Sidecar无法独立初始化和使用，启动前需确保已有可访问的Console，并生成当前Sidecar对应的AK/SK/WSN。

[官网] [文档] [博客] [https://gitee.com/clougence/open-cdm/stargazers] [https://github.com/ClouGence/open-cdm/stargazers]

什么是CloudDM

CloudDM是一款面向团队协作场景的免费开源数据库管理平台，提供访问控制、数据脱敏、SQL审计、CI/CD及跨区域部署能力。它不仅是SQL查询工具，也不仅是数据库操作平台，而是将以下能力整合到一个Web产品中：

• 多数据库和数据源统一管理
• 查询、对象管理及日常操作的可视化界面
• SQL执行前的审计、风险验证和审批流程
• 通过角色、资源和临时授权实现的访问控制
• 通过Console + Sidecar架构让数据库访问部署更贴近数据库网络

如果您需要一个可直接采用的数据库平台而非轻量级命令行客户端，CloudDM是更合适的选择。

核心功能

查询与开发

• 支持MySQL、Oracle、MariaDB、PostgreSQL、SQL Server、DB2、TiDB、ClickHouse、Doris、StarRocks、Redis、MongoDB等多种数据库
• 提供统一Web控制台、SQL编辑器、结果导出、执行计划、事务控制及语法高亮

数据库管理

• 支持目录、模式、表、列、索引、视图、函数、存储过程、触发器、用户及角色的管理
• 适用于多环境、多实例的统一管理

数据库CI/CD

• 支持Git Push、Web Hook、HttpCall作为CI/CD触发器
• 支持Gitee作为变更仓库

安全与权限

• 支持资源权限和功能权限
• 支持权限申请、授予、临时授权及审批流程
• 提供SQL审计、风险拦截和数据脱敏能力

工作流与协作

• 支持SQL审计流程、权限工单和变更流程
• 支持手动、立即和定时执行模式
• 支持OpenLDAP、OIDC、Windows AD、钉钉、飞书、企业微信集成，用于认证和工作流引擎
• 适合作为团队共享的数据库访问入口和操作标准

许可证

CloudDM采用商业友好的Apache 2.0许可证。

使用说明

以下示例假设：

• Console容器名称为cgdm-console
• Sidecar访问Console的通信地址为cgdm-console:8008
• Sidecar与Console位于同一Docker网络cgdm-net

启动前准备

在Console中完成以下操作：

1. 先部署并初始化Console
2. 在Console中添加Sidecar节点
3. 记录生成的AK、SK和WSN
4. 确认Sidecar运行环境可访问Console的APP_SERVE_NAME:APP_SERVE_PORT

快速启动

在Console初始化完成并获取AK/SK/WSN后，可使用最小必要参数启动Sidecar：

bash
docker run -d --name cgdm-sidecar -p 8080:8080 \
  -e APP_WEB_PORT=8080 \
  -e APP_SERVE_NAME=<您的CloudDM APP_SERVE_NAME> \
  -e APP_SERVE_PORT=<您的CloudDM APP_SERVE_PORT，默认8008> \
  -e DM_CLIENT_AK=<Worker AK> \
  -e DM_CLIENT_SK=<Worker SK> \
  -e DM_CLIENT_WSN=<Worker WSN>  \
  bladepipe/cgdm-sidecar:3.0.7

对于中国大陆网络环境，可将镜像更换为加速 registry 地址：

yaml
image: cloudcanal-registry.cn-shanghai.cr.aliyuncs.com/clougence/cgdm-sidecar:3.0.7

网络连通性

以下方法均可实现Sidecar访问Console，选择适合您部署环境的方式即可：

1. 同一机器、同一Docker网络：先运行docker network create cgdm-net，然后启动Console和Sidecar时添加--network cgdm-net。此时APP_SERVE_NAME可直接设为Console容器名称（如cgdm-console）。
2. 同一机器，但Console运行在主机：Sidecar容器需能访问主机IP，APP_SERVE_NAME设为主机地址（如192.168.1.10），并确保主机8008端口对容器网络开放。
3. 局域网内不同机器：若Console部署在另一服务器，APP_SERVE_NAME可设为Console所在机器的内网IP或可访问域名，同时允许两台机器间访问APP_SERVE_PORT。
4. 通过反向代理、SLB或负载均衡访问：若Console已置于Nginx、四层负载均衡或云负载均衡后，APP_SERVE_NAME设为代理后的域名或地址，适用于Sidecar与Console不在同一网络平面需统一暴露入口的场景。
5. Kubernetes或云网络环境部署：若Console以Kubernetes Service、Ingress或云私有服务地址暴露，APP_SERVE_NAME设为对应Service DNS、Ingress域名或私有地址。关键是Sidecar运行环境能否访问APP_SERVE_NAME:APP_SERVE_PORT，而非是否使用cgdm-net。

无论选择哪种方式，规则一致：APP_SERVE_NAME:APP_SERVE_PORT必须能从Sidecar运行环境访问。

环境变量

除APP_WEB_PORT外，其他值建议在实际部署中显式设置。

数据卷

建议：

• 若需保留Sidecar凭证和配置，至少挂载conf目录
• 若需保留运行日志，挂载logs目录
• 若需保留运行缓存和本地数据，挂载data目录

端口说明

Sidecar到Console的核心连接是主动 outbound 连接到APP_SERVE_NAME:APP_SERVE_PORT，而非Console反向发起的连接。

重要规则

Sidecar仅在配置文件不存在时从环境变量生成配置：

• /root/cgdm/sidecar/conf/global_conf.properties
• /root/cgdm/sidecar/conf/sidecar.properties