egovio/egov-enc-service

Encryption Service Docker镜像文档

概述

Encryption Service是一个轻量级Docker镜像，提供安全的数据加密、解密及密钥生命周期管理功能。该镜像旨在为各类应用系统提供便捷、可靠的加密服务，通过标准化接口简化敏感数据保护流程，支持多种主流加密算法，可快速集成到微服务、分布式系统等架构中。

核心功能与特性

• 多算法支持：兼容对称加密（AES-128/256、DES）、非对称加密（RSA-2048/4096、ECC）及哈希算法（SHA-256/512、MD5），满足不同场景加密需求。
• 密钥管理：内置密钥生成、存储、轮换及销毁机制，支持密钥版本控制，确保密钥全生命周期安全。
• RESTful API：提供标准化HTTP接口，支持加密/解密操作、密钥管理及服务状态查询，便于应用集成。
• 安全存储：加密密钥及配置信息采用加密存储方式，防止未授权访问。
• 轻量化设计：基于Alpine Linux构建，镜像体积小（<100MB），资源占用低，支持多平台部署（amd64/arm64）。

使用场景与适用范围

• 敏感数据保护：用户密码、支付信息、身份证号等个人敏感数据的加密存储。
• 数据传输加密：应用间通信数据加密，防止传输过程中数据泄露（如API请求/响应加密）。
• 合规场景：满足***、***、政务等行业数据安全合规要求（如GDPR、HIPAA）。
• 密钥集中管理：为多应用系统提供统一的密钥管理服务，避免密钥分散导致的安全风险。

使用方法

快速启动

通过以下命令启动Encryption Service容器：

bash
docker run -d \
  --name encryption-service \
  -p 8080:8080 \
  -e ENCRYPTION_DEFAULT_ALGORITHM=AES-256-GCM \
  -e KEY_STORAGE_VOLUME=/keys \
  -v ./local-keys:/keys \
  encryption-service:latest

环境变量配置

容器启动时可通过环境变量自定义服务配置，常用参数如下：

Docker Compose配置示例

以下为docker-compose.yml配置示例，适用于生产环境部署：

yaml
version: '3.8'
services:
  encryption-service:
    image: encryption-service:latest
    container_name: encryption-service
    restart: unless-stopped
    ports:
      - "8080:8080"
    environment:
      - ENCRYPTION_DEFAULT_ALGORITHM=RSA-2048
      - KEY_STORAGE_VOLUME=/keys
      - LOG_LEVEL=INFO
      - ENABLE_TLS=true
      - TLS_CERT_PATH=/tls/cert.pem
      - TLS_KEY_PATH=/tls/key.pem
    volumes:
      - ./encryption-keys:/keys
      - ./tls-cert:/tls
    networks:
      - app-network

networks:
  app-network:
    driver: bridge

核心API接口

服务启动后可通过以下API接口进行操作（完整接口文档可访问http://<服务IP>:8080/swagger-ui查看）：

• 加密数据
  POST /api/v1/encrypt
  请求体：{"data": "<明文数据>"}
  响应：{"encrypted_data": "<加密后数据>", "algorithm": "AES-256-GCM", "key_id": "key-v1"}

• 解密数据
  POST /api/v1/decrypt
  请求体：{"encrypted_data": "<加密数据>", "key_id": "key-v1"}
  响应：{"data": "<明文数据>"}

• 生成密钥
  POST /api/v1/keys/generate
  请求体：{"algorithm": "RSA-2048", "key_name": "payment-key"}
  响应：{"key_id": "payment-key-v1", "algorithm": "RSA-2048", "created_at": "2024-05-20T10:30:00Z"}

注意事项

• 密钥安全：挂载的密钥存储目录需限制访问权限（如chmod 700 ./local-keys），避免密钥泄露。
• 性能优化：非对称加密（如RSA）性能较低，大量数据加密建议优先使用对称加密算法（如AES）。
• 高可用部署：生产环境建议通过Kubernetes或Docker Swarm实现多实例部署，配合负载均衡提高服务可用性。
• 定期轮换密钥：通过/api/v1/keys/rotate接口定期轮换密钥，降低密钥泄露风险。