czertainly/czertainly-core

CZERTAINLY Core

本仓库是开源项目CZERTAINLY的一部分。有关该项目的更多信息，请访问https://github.com/CZERTAINLY/CZERTAINLY%E4%BB%93%E5%BA%93%EF%BC%8C%E5%8C%85%E6%8B%AC%E8%B4%A1%E7%8C%AE%E6%8C%87%E5%8D%97%E3%80%82

Core为CZERTAINLY平台提供基础功能，实现证书生命周期管理逻辑并处理所有相关任务，可视为平台的"大脑"。

Core负责两种类型的通信：

• 客户端请求证书及相关对象的管理操作
• Connector提供特定技术的功能

证书和加密密钥的管理通过CZERTAINLY的Profiles对象抽象实现，包括：

• RA Profile - 证书生命周期管理服务配置
• Token Profile - 加密服务配置和密钥管理
• Compliance Profile - 证书及相关对象的合规要求

更多信息请参考CZERTAINLY文档。

访问控制

Core访问控制运行需满足以下要求：

• https://github.com/CZERTAINLY/CZERTAINLY-Auth%E6%9C%8D%E5%8A%A1%EF%BC%9A%E7%94%A8%E4%BA%8E%E7%AE%A1%E7%90%86%E7%94%A8%E6%88%B7%E3%80%81%E8%A7%92%E8%89%B2%E5%92%8C%E6%9D%83%E9%99%90%E3%80%82%E5%8F%AF%E9%80%9A%E8%BF%87%60AUTH_SERVICE_BASE_URL%60%E7%8E%AF%E5%A2%83%E5%8F%98%E9%87%8F%E9%85%8D%E7%BD%AEAuth%E6%9C%8D%E5%8A%A1URL%E3%80%82
• OPA（Open Policy Agent）：评估策略并提供授权决策。可通过OPA_BASE_URL环境变量配置OPA服务URL。
• OPA策略包：加载到OPA服务中并定义评估规则，策略定义在https://github.com/CZERTAINLY/CZERTAINLY-Auth-OPA-Policies%E3%80%82

警告
当Auth或OPA缺失时，Core将无法运行。

注意
OPA可与Core运行在同一系统或外部托管。为提高权限评估性能，通常与Core运行在同一主机（如作为sidecar）。

证书库存

证书库存包含平台中发现或导入的所有Certificates。每个Certificate提供可管理的全面一致信息。

生命周期操作

每个Certificate支持以下基本生命周期操作：

• 创建（请求）
• 签发
• 续订
• 重新生成密钥
• 吊销

操作可由Core自动执行，也可由用户手动执行。

加密密钥库存

密钥库存包含所有可用的Keys。每个Key提供通过Token Profile管理的全面一致信息。

后量子密码（PQC）算法实验性支持

Core支持以下PQC算法：FALCON、CRYSTALS-Dilithium、SPHINCS+。该支持为实验性，不建议用于生产环境，因为PQC算法仍在开发中且未完全标准化。

协议支持

Core支持以下证书管理协议：

• ACME
• SCEP（可选支持Intune）
• CMP

Docker容器

Core以Docker容器形式提供。使用czertainly/czertainly-core:tagname从仓库拉取所需镜像。可通过以下环境变量进行配置：

OpenTelemetry设置

Core支持OpenTelemetry以生成信号（指标、追踪、日志）到可观测性系统。可通过以下环境变量配置OpenTelemetry：

代理设置

如需Core与外部系统通信，可能需要配置代理。通过以下环境变量为Docker容器启用代理：

示例值：

• HTTP_PROXY=http://user:password@proxy.example.com:3128
• HTTPS_PROXY=http://user:password@proxy.example.com:3128
• NO_PROXY=localhost,127.0.0.1,0.0.0.0,10.0.0.0/8,cattle-system.svc,.svc,.cluster.local,my-domain.local

部署示例

Docker Run命令

bash
docker run -d \
  --name czertainly-core \
  -p 8080:8080 \
  -e JDBC_URL=jdbc:postgresql://postgres:5432/czertainly \
  -e JDBC_USERNAME=czertainly \
  -e JDBC_PASSWORD=securepassword \
  -e AUTH_SERVICE_BASE_URL=http://auth:8080 \
  -e OPA_BASE_URL=http://opa:8181 \
  -e TS_PASSWORD=truststorepassword \
  -e SCHEDULER_BASE_URL=http://scheduler:8080 \
  -e RABBITMQ_HOST=rabbitmq \
  -e RABBITMQ_USERNAME=rabbituser \
  -e RABBITMQ_PASSWORD=rabbitpass \
  -e HEADER_ENABLED=true \
  czertainly/czertainly-core:latest

Docker Compose配置

yaml
version: '3.8'

services:
  core:
    image: czertainly/czertainly-core:latest
    container_name: czertainly-core
    ports:
      - "8080:8080"
    environment:
      - JDBC_URL=jdbc:postgresql://postgres:5432/czertainly
      - JDBC_USERNAME=czertainly
      - JDBC_PASSWORD=securepassword
      - AUTH_SERVICE_BASE_URL=[***]
      - OPA_BASE_URL=[***]
      - TS_PASSWORD=truststorepassword
      - SCHEDULER_BASE_URL=[***]
      - RABBITMQ_HOST=rabbitmq
      - RABBITMQ_PORT=5672
      - RABBITMQ_USERNAME=rabbituser
      - RABBITMQ_PASSWORD=rabbitpass
      - RABBITMQ_VHOST=czertainly
      - HEADER_ENABLED=true
      - SCHEDULED_TASKS_ENABLED=true
    depends_on:
      - postgres
      - rabbitmq
      - auth
      - opa
      - scheduler