cuboulder/comodo_proxy

comodo_proxy Docker镜像文档

镜像概述和主要用途

comodo_proxy是一个在Sectigo/Comodo REST API与自定义最小REST API之间的代理服务。它专为Kerberos/GSSAPI环境部署设计，通过主体（principles）处理访问控制，代码可轻松修改以支持简单认证。该镜像旨在简化与Comodo证书管理API的交互，提供更便捷的证书操作接口。

核心功能和特性

• API代理：作为Comodo REST API与自定义API之间的中间层，转换和简化API调用
• Kerberos集成：原生支持Kerberos/GSSAPI环境，通过主体进行访问控制
• 灵活认证：代码结构允许轻松修改以支持简单认证机制
• 安全配置：通过挂载方式管理敏感文件（keytab、证书等），确保安全性
• 环境变量配置：所有配置通过环境变量注入，便于部署和管理

使用场景和适用范围

• 需要与Comodo/Sectigo证书管理API交互的企业环境
• 基于Kerberos/GSSAPI进行访问控制的内部系统
• 需要简化证书申请、管理和吊销流程的组织
• 希望通过自定义API接口封装Comodo复杂API的应用场景

部署方法

使用source-to-image (s2i)构建镜像

推荐使用s2i工具快速构建镜像，支持CentOS和RHEL系统：

CentOS系统

bash
s2i build https://github.com/erinn/comodo_proxy docker.io/centos/python-36-centos7 comodo_proxy:latest

RHEL系统（需订阅）

bash
s2i build https://github.com/erinn/comodo_proxy registry.access.redhat.com/rhscl/python-36-rhel7 comodo_proxy:latest

必要挂载点

容器需要以下只读挂载（主机文件需确保容器可读取，容器运行用户为1001:0，需正确设置权限）：

• /etc/krb5.keytab:/etc/krb5.keytab:ro
  Kerberos keytab文件，建议主机文件权限设置为组0，模式640，确保非世界可读
• /etc/krb5.conf:/etc/krb5.conf:ro
  Kerberos配置文件，用于Kerberos客户端操作
• /etc/pki/tls/certs/comodo_client.crt:/etc/pki/tls/certs/comodo_client.crt:ro（可选）
  当使用Comodo API双因素认证时的客户端公钥证书
• /etc/pki/tls/private/comodo_client.key:/etc/pki/tls/private/comodo_client.key:ro（可选）
  当使用Comodo API双因素认证时的客户端私钥，权限设置为组0，模式640

SELinux环境配置

在SELinux环境中，可能需要自定义策略模块以允许容器访问Kerberos文件和证书。创建docker_kerberos.te文件：

te
module docker_kerberos 1.0;

require {
    type krb5_conf_t;
    type krb5_keytab_t;
    type container_t;
    type cert_t;
    class file { getattr lock open read };
}

#============= container_t ==============
allow container_t krb5_conf_t:file getattr;
allow container_t krb5_conf_t:file { open read };
allow container_t  krb5_keytab_t:file lock;
allow container_t  krb5_keytab_t:file { open read };
allow container_t cert_t:file getattr;
allow container_t cert_t:file { open read };

编译并加载模块：

bash
checkmodule -M -m -o docker_kerberos.mod docker_kerberos.te
semodule_package -o docker_kerberos.pp docker_kerberos.mod
sudo semodule -i docker_kerberos.pp

环境变量配置

comodo_proxy通过以下环境变量进行配置：

容器代理配置

建议使用nginx或Apache作为前端代理，而非直接暴露gunicorn服务。以下是SSL/TLS配置示例：

Nginx配置

nginx
server {
    listen       443 ssl http2 default_server;
    listen       [::]:443 ssl http2 default_server;
    server_name  _;
    root         /usr/share/nginx/html;

    ssl_certificate "/etc/pki/tls/certs/www.example.com.crt";
    ssl_certificate_key "/etc/pki/tls/private/www.example.com.key";
    ssl_session_cache shared:SSL:1m;
    ssl_session_timeout  10m;
    ssl_ciphers PROFILE=SYSTEM;
    ssl_prefer_server_ciphers on;

    include /etc/nginx/default.d/*.conf;

    location / {
        proxy_pass         http://localhost:8080/;
        proxy_redirect     off;
        proxy_set_header   Host                 $host;
        proxy_set_header   X-Real-IP            $remote_addr;
        proxy_set_header   X-Forwarded-For      $proxy_add_x_forwarded_for;
        proxy_set_header   X-Forwarded-Proto    $scheme;
    }
}

Apache配置

apache
<VirtualHost www.example.com:443>
    SSLEngine On
    ServerName www.example.com
    DocumentRoot /var/www/html/
    ServerAdmin help@example.com

    SSLCertificateFile /etc/pki/tls/certs/www.example.com.crt
    SSLCertificateKeyFile /etc/pki/tls/private/www.example.com.key

    <Directory /var/www/html/>
        Require all granted
    </Directory>

    RequestHeader set X-Forwarded-Proto "https"
    ProxyPreserveHost On
    ProxyPass /server-info !
    ProxyPass /server-status !
    ProxyPass /.well-known !
    ProxyPass "/" "http://localhost:8080/"
    ProxyPassReverse "/" "http://localhost:8080/"
</VirtualHost>

开发环境设置

开发环境提供docker-compose.yml文件，包含所有必要挂载。默认配置信任所有头信息，仅用于开发或高度受控环境。

数据库初始化

容器启动后，需手动初始化数据库：

1. 设置环境变量指向容器数据库：export DATABASE_URI=<数据库连接URL>
2. 运行数据库迁移命令：flask db upgrade

配置覆盖

建议创建docker-compose.override.yaml文件覆盖敏感或环境特定的配置变量。