czertainly/czertainly-core Docker 镜像 - 轩辕镜像 | Docker 镜像高效稳定拉取服务

CZERTAINLY Core

本仓库是开源项目CZERTAINLY的一部分。有关该项目的更多信息，请访问CZERTAINLY仓库，包括贡献指南。

Core为CZERTAINLY平台提供基础功能，实现证书生命周期管理逻辑并处理所有相关任务，可视为平台的"大脑"。

Core负责两种类型的通信：

• 客户端请求证书及相关对象的管理操作
• Connector提供特定技术的功能

证书和加密密钥的管理通过CZERTAINLY的Profiles对象抽象实现，包括：

• RA Profile - 证书生命周期管理服务配置
• Token Profile - 加密服务配置和密钥管理
• Compliance Profile - 证书及相关对象的合规要求

更多信息请参考CZERTAINLY文档。

访问控制

Core访问控制运行需满足以下要求：

• CZERTAINLY-Auth服务：用于管理用户、角色和权限。可通过AUTH_SERVICE_BASE_URL环境变量配置Auth服务URL。
• OPA（Open Policy Agent）：评估策略并提供授权决策。可通过OPA_BASE_URL环境变量配置OPA服务URL。
• OPA策略包：加载到OPA服务中并定义评估规则，策略定义在CZERTAINLY-Auth-OPA-Policies。

警告
当Auth或OPA缺失时，Core将无法运行。

注意
OPA可与Core运行在同一系统或外部托管。为提高权限评估性能，通常与Core运行在同一主机（如作为sidecar）。

证书库存

证书库存包含平台中发现或导入的所有Certificates。每个Certificate提供可管理的全面一致信息。

生命周期操作

每个Certificate支持以下基本生命周期操作：

• 创建（请求）
• 签发
• 续订
• 重新生成密钥
• 吊销

操作可由Core自动执行，也可由用户手动执行。

加密密钥库存

密钥库存包含所有可用的Keys。每个Key提供通过Token Profile管理的全面一致信息。

后量子密码（PQC）算法实验性支持

Core支持以下PQC算法：FALCON、CRYSTALS-Dilithium、SPHINCS+。该支持为实验性，不建议用于生产环境，因为PQC算法仍在开发中且未完全标准化。

协议支持

Core支持以下证书管理协议：

• ACME
• SCEP（可选支持Intune）
• CMP

Docker容器

Core以Docker容器形式提供。使用czertainly/czertainly-core:tagname从仓库拉取所需镜像。可通过以下环境变量进行配置：

OpenTelemetry设置

Core支持OpenTelemetry以生成信号（指标、追踪、日志）到可观测性系统。可通过以下环境变量配置OpenTelemetry：

代理设置

如需Core与外部系统通信，可能需要配置代理。通过以下环境变量为Docker容器启用代理：

示例值：

• HTTP_PROXY=[***]
• HTTPS_PROXY=[***]
• NO_PROXY=localhost,127.0.0.1,0.0.0.0,10.0.0.0/8,cattle-system.svc,.svc,.cluster.local,my-domain.local

部署示例

Docker Run命令

bash
docker run -d \
  --name czertainly-core \
  -p 8080:8080 \
  -e JDBC_URL=jdbc:postgresql://postgres:5432/czertainly \
  -e JDBC_USERNAME=czertainly \
  -e JDBC_PASSWORD=securepassword \
  -e AUTH_SERVICE_BASE_URL=[***] \
  -e OPA_BASE_URL=[***] \
  -e TS_PASSWORD=truststorepassword \
  -e SCHEDULER_BASE_URL=[***] \
  -e RABBITMQ_HOST=rabbitmq \
  -e RABBITMQ_USERNAME=rabbituser \
  -e RABBITMQ_PASSWORD=rabbitpass \
  -e HEADER_ENABLED=true \
  czertainly/czertainly-core:latest

Docker Compose配置

yaml
version: '3.8'

services:
  core:
    image: czertainly/czertainly-core:latest
    container_name: czertainly-core
    ports:
      - "8080:8080"
    environment:
      - JDBC_URL=jdbc:postgresql://postgres:5432/czertainly
      - JDBC_USERNAME=czertainly
      - JDBC_PASSWORD=securepassword
      - AUTH_SERVICE_BASE_URL=[***]
      - OPA_BASE_URL=[***]
      - TS_PASSWORD=truststorepassword
      - SCHEDULER_BASE_URL=[***]
      - RABBITMQ_HOST=rabbitmq
      - RABBITMQ_PORT=5672
      - RABBITMQ_USERNAME=rabbituser
      - RABBITMQ_PASSWORD=rabbitpass
      - RABBITMQ_VHOST=czertainly
      - HEADER_ENABLED=true
      - SCHEDULED_TASKS_ENABLED=true
    depends_on:
      - postgres
      - rabbitmq
      - auth
      - opa
      - scheduler