drgrove/mtls-server
drgrove
这是一个基于Web of Trust的短期客户端证书系统服务器端，通过mutual TLS（mTLS）实现用户认证，作为多因素认证的初始安全措施，用于保护仅限授权用户访问的互联网服务。
下载次数: 0状态：社区镜像维护者：drgrove仓库类型：镜像最近更新：4 年前
让 AI 帮你使用轩辕镜像？ · 展开查看说明 · 点击收起说明
如果你使用 DeepSeek、元宝 AI、Copilot、ChatGPT 等 AI 工具，协助配置轩辕镜像、编写 docker pull 命令、修改 Docker Compose 镜像地址、配置镜像加速、排查镜像拉取失败、分析报错日志等问题，请先让 AI 阅读并遵守轩辕镜像的规则文档。
只需在 AI 对话中先发送下面这句话即可：
请先完整阅读并严格遵守以下文档中的全部规则与要求：
https://xuanyuan.cloud/agents.md
在未充分阅读并理解该文档前，不要生成任何命令、配置、修改建议、故障排查方案或技术回答。后续所有输出都必须严格以该文档中的规范为最高优先级执行。查看 agents.md 用法指南与完整示范。国内用户首推 元宝 AI、DeepSeek 的深度思考模式，不推荐豆包 AI；Cursor 等编辑器可在对话 @ 该链接，或加入 User Rules。 若 AI 无法访问外链，可 打开说明文档 复制全文粘贴。文档会随站点更新，复制内容可能过期，建议定期检查。
mTLS Server
镜像概述
这是一个mutual TLS（mTLS）系统，用于认证需要互联网访问但仅限特定授权用户的服务，可作为常规登录之外的初始安全措施，实现多因素认证。该系统基于谷歌零信任安全模型Beyond Corp的白皮书设计，核心是通过Web of Trust机制生成短期客户端证书，增强服务访问的安全性。
核心功能
- 提供API将证书签名请求（CSR）转换为客户端证书
- 利用PGP信任库验证CSR的分离签名
- 生成默认有效期18小时的短期客户端证书（可配置TTL）
- 通过管理员PGP信任库认证管理证书吊销列表（CRL）
使用场景
- 需要零信任安全模型的内部服务访问控制
- 对敏感服务添加多因素认证层
- 限制未授权用户访问互联网暴露的服务
配置说明
环境变量（ENV）
| 参数 | 描述 | 默认值 |
|---|---|---|
| CONFIG_PATH | 配置文件路径 | config.ini |
| PROTOCOL | 服务器运行协议 | http |
| FQDN | 完全限定域名 | localhost |
| CA_KEY_PASSWORD | CA密钥密码 | 空 |
| SEED_ON_INIT | 初始化时种子化GPG信任库 | 1 |
config.ini配置
| section | 字段 | 描述 |
|---|---|---|
| mtls | min_lifetime | 客户端证书最小有效期（秒） |
| mtls | max_lifetime | 客户端证书最大有效期（秒，0表示禁用限制） |
| ca | key | CA密钥路径 |
| ca | cert | CA证书路径 |
| ca | alternate_name | 可选DNS名称（多个用逗号分隔） |
| gnupg | user | 用户GNUPGHOME路径 |
| gnupg | admin | 管理员GNUPGHOME路径 |
| storage | engine | 存储引擎类型（sqlite3或postgres） |
| storage.sqlite3 | db_path | SQLite3数据库文件路径 |
| storage.postgres | database | Postgres数据库名称 |
| storage.postgres | user | Postgres数据库用户 |
| storage.postgres | password | Postgres数据库密码 |
| storage.postgres | host | Postgres数据库主机 |
Docker部署示例
基本运行命令
shelldocker run -d \ -p 80:80 \ -v /your/local/config.ini:/app/config.ini \ -e CA_KEY_PASSWORD="your_ca_password" \ docker.xuanyuan.run/drgrove/mtls-server
生产环境运行（参考原项目）
- 克隆项目代码：
shellgit clone https://github.com/drGrove/mtls-server
- 安装依赖：
shellmake setup
- 运行生产环境容器：
shellmake run-prod
开发环境说明
依赖工具
- make
- pipenv
- docker
快速开始
- 初始化开发环境：
shellmake setup-dev cp config.ini.example config.ini
- 编辑config.ini配置证书颁发者名称和可选域名
- 启动服务：
shellmake run
- 集成测试：建议结合https://github.com/drGrove/mtls-client%E6%B5%8B%E8%AF%95%E8%AF%81%E4%B9%A6%E8%AE%BF%E9%97%AE%E5%8A%9F%E8%83%BD%EF%BC%8C%E9%AA%8C%E8%AF%81%60/test/%60%E7%AB%AF%E7%82%B9%E6%98%AF%E5%90%A6%E5%8F%AF%E9%80%9A%E8%BF%87%E5%AE%A2%E6%88%B7%E7%AB%AF%E8%AF%81%E4%B9%A6%E8%AE%BF%E9%97%AE%E3%80%82
镜像拉取方式
您可以使用以下命令拉取该镜像。请将 <标签> 替换为具体的标签版本。如需查看所有可用标签版本，请访问 标签列表页面。
轩辕镜像加速拉取命令点我查看更多 mtls-server 镜像标签
docker pull docker.xuanyuan.run/drgrove/mtls-server:<标签>
DockerHub 原生拉取命令
docker pull drgrove/mtls-server:<标签>
镜像拉取常见问题
功能
错误码
用户好评
来自真实用户的反馈，见证轩辕镜像的优质服务
oldzhang
运维工程师
Linux服务器
5
"Docker访问体验非常流畅，大镜像也能快速完成下载。"