cleanstart/envoy

CleanStart Envoy镜像文档

镜像概述和主要用途

CleanStart Envoy镜像提供生产就绪、安全加固的容器，基于最小化基础OS构建，全面安全加固，针对企业环境优化。该镜像提供可靠的应用执行能力，具备高级安全特性，是企业级Envoy部署的理想选择。

核心功能和特性

• 生产就绪：基于CleanStart的生产级容器基础
• 安全加固：全面的安全强化措施，符合企业安全标准
• 最小化基础：基于精简OS，减少***面
• 可靠性：优化的应用执行环境，确保稳定运行

使用场景和适用范围

• 企业级Envoy代理部署
• 需要高安全性的服务网格环境
• 生产环境中的流量管理和负载均衡
• 对容器安全有严格要求的企业应用场景

使用方法和配置说明

镜像信息

• 镜像路径：cleanstart/envoy:latest
• 仓库：cleanstart Registry

拉取最新镜像

从仓库下载容器镜像：

bash
docker pull cleanstart/envoy:latest

开发版本：

bash
docker pull cleanstart/envoy:latest-dev

最小化envoy.yaml配置示例

以下是在8080端口运行Envoy并在9901端口提供管理界面的最小配置：

yaml
static_resources:
  listeners:
  - name: listener_0
    address:
      socket_address:
        address: 0.0.0.0
        port_value: 8080
    filter_chains:
    - filters:
      - name: envoy.filters.network.http_connection_manager
        typed_config:
          "@type": type.googleapis.com/envoy.extensions.filters.network.http_connection_manager.v3.HttpConnectionManager
          stat_prefix: ingress_http
          route_config:
            name: local_route
            virtual_hosts:
            - name: local_service
              domains: ["*"]
              routes:
              - match:
                  prefix: "/"
                direct_response:
                  status: 200
                  body:
                    inline_string: "Envoy is running\n"
          http_filters:
          - name: envoy.filters.http.router
            typed_config:
              "@type": type.googleapis.com/envoy.extensions.filters.http.router.v3.Router

admin:
  address:
    socket_address:
      address: 0.0.0.0
      port_value: 9901

# 注意：检查端口可用性

基本运行

使用基本配置运行容器：

bash
docker run -it --name envoy \
  -v ~/envoy.yaml:/etc/envoy/envoy.yaml:ro \
  cleanstart/envoy:latest \
  envoy -c /etc/envoy/envoy.yaml

生产环境部署

使用生产安全设置部署：

bash
docker run -d --name envoy-prod \
  --security-opt=no-new-privileges \
  --user 1000:1000 \
  --restart unless-stopped \
  -p 8080:8080 \
  -p 9901:9901 \
  -v ~/envoy.yaml:/etc/envoy/envoy.yaml:ro \
  cleanstart/envoy:latest \
  envoy -c /etc/envoy/envoy.yaml

卷挂载

挂载本地目录以实现数据持久化：

bash
docker run \
  -v /app:/app \
  -v ~/envoy.yaml:/etc/envoy/envoy.yaml:ro \
  cleanstart/envoy:latest \
  envoy -c /etc/envoy/envoy.yaml

端口转发

使用自定义端口映射运行：

bash
docker run \
  -p 8080:8080 \
  -p 9901:9901 \
  -v ~/envoy.yaml:/etc/envoy/envoy.yaml:ro \
  cleanstart/envoy:latest \
  envoy -c /etc/envoy/envoy.yaml

验证容器

bash
curl http://localhost:8080

预期输出：Envoy is running

检查管理端点健康状态

bash
curl http://localhost:9901/ready

预期输出：LIVE

环境变量

通过环境变量进行配置：

安全最佳实践

Kubernetes安全上下文

Kubernetes部署推荐的安全上下文：

yaml
securityContext:
  allowPrivilegeEscalation: false
  capabilities:
    drop:
    - ALL
  readOnlyRootFilesystem: true
  runAsUser: 1000
  runAsGroup: 1000

文档资源

必要链接和参考资源

• CleanStart镜像：[***]

• 社区镜像：

  • Docker Hub：https://hub.docker.com/u/cleanstart
  • GitHub：https://github.com/cleanstart-containers
  • AWS ECR Public Gallery：[***]

• 社交媒体：

  • 社区：[***]
  • *****：[*]

• 容器用例贡献：https://github.com/cleanstart-dev/cleanstart-use-cases/

漏洞免责声明

CleanStart提供的Docker镜像包含由独立贡献者维护的第三方开源库和软件包。尽管CleanStart维护这些镜像并应用行业标准的安全实践，但无法保证超出其控制范围的上游组件的安全性或完整性。

用户确认并同意，开源软件可能包含未发现的漏洞，或通过更新引入新风险。CleanStart对源自第三方库的安全问题（包括但不限于零日漏洞、供应链***或贡献者引入的风险）不承担责任。

安全是共同责任：CleanStart在可能的情况下提供更新的镜像和指导，而用户负责评估部署并实施适当的控制措施。