eonxcom/cis-ubuntu-2004-php-7.4-apache-pgsql

CIS强化Ubuntu 20.04 + PHP 7.4 + Apache + PgSQL 镜像文档

镜像概述

本镜像基于CIS（Center for Internet Security）安全基准强化的Ubuntu 20.04 LTS系统构建，集成PHP 7.4运行环境、Apache Web服务器和PostgreSQL数据库，提供一站式、安全合规的Web应用部署解决方案。镜像通过系统级安全加固，满足企业级安全需求，同时简化Web应用的部署流程。

核心功能与特性

系统安全强化

• 遵循CIS Ubuntu Linux 20.04 LTS Benchmark v1.0.0安全标准
• 实施最小权限原则，限制不必要的系统服务与用户权限
• 强化内核参数配置（如禁用不安全网络协议、启用地址空间随机化）
• 定期更新安全补丁，修复已知漏洞

集成组件

• 操作系统：Ubuntu 20.04 LTS (CIS Hardened)
• Web服务器：Apache 2.4.x（含安全模块如mod_ssl、mod_security）
• PHP环境：PHP 7.4.x（含常用扩展：mysqli、pgsql、curl、gd等）
• 数据库：PostgreSQL 12.x（默认启用密码认证与网络访问控制）

安全特性

• 默认启用HTTPS（自签名证书，支持自定义证书配置）
• PHP安全配置（禁用危险函数、限制文件上传大小、启用open_basedir）
• Apache访问控制（禁止目录浏览、限制请求方法）
• PostgreSQL数据库隔离（独立运行用户、数据目录权限加固）

使用场景

• 企业级Web应用：需满足内部安全规范或外部合规要求（如PCI DSS、HIPAA）的业务系统
• 开发/测试环境：在安全配置下验证应用兼容性与安全性
• 中小型网站：快速部署具备基础安全防护的LAMP-like架构应用

使用方法与配置说明

快速启动

通过docker run命令直接启动容器：

bash
docker run -d \
  --name cis-webapp \
  -p 80:80 -p 443:443 -p 5432:5432 \
  -e POSTGRES_USER=appuser \
  -e POSTGRES_PASSWORD=StrongP@ssw0rd \
  -e POSTGRES_DB=appdb \
  -e APACHE_SERVER_NAME=example.com \
  -v /host/path/www:/var/www/html \
  -v /host/path/pgdata:/var/lib/postgresql/data \
  cis-ubuntu20-php74-apache-pgsql:latest

Docker Compose配置示例

创建docker-compose.yml文件：

yaml
version: '3.8'

services:
  webapp:
    image: cis-ubuntu20-php74-apache-pgsql:latest
    container_name: cis-webapp
    ports:
      - "80:80"
      - "443:443"
      - "5432:5432"
    environment:
      POSTGRES_USER: appuser
      POSTGRES_PASSWORD: StrongP@ssw0rd
      POSTGRES_DB: appdb
      APACHE_SERVER_NAME: example.com
      PHP_MEMORY_LIMIT: 256M
      PHP_UPLOAD_MAX_FILESIZE: 10M
    volumes:
      - ./www:/var/www/html  # 网站根目录
      - ./pgdata:/var/lib/postgresql/data  # PostgreSQL数据持久化
      - ./ssl:/etc/apache2/ssl  # 自定义SSL证书
      - ./php.ini:/etc/php/7.4/apache2/php.ini  # 自定义PHP配置
    restart: unless-stopped

启动服务：

bash
docker-compose up -d

环境变量说明

持久化配置

• 网站文件：挂载/var/www/html目录，存放Web应用代码
• 数据库数据：挂载/var/lib/postgresql/data目录，持久化PostgreSQL数据
• SSL证书：挂载/etc/apache2/ssl目录，放置自定义证书（server.crt和server.key）
• 配置文件：可挂载自定义php.ini（/etc/php/7.4/apache2/php.ini）或httpd.conf（/etc/apache2/apache2.conf）

访问应用

• Web应用：通过http://<主机IP>或https://<主机IP>访问
• PostgreSQL数据库：通过psql -h <主机IP> -U <POSTGRES_USER> -d <POSTGRES_DB>连接（默认端口5432）

安全注意事项

• 生产环境中必须替换默认自签名SSL证书为可信CA颁发的证书
• 避免将数据库端口（5432）暴露到公网，建议通过内部网络访问
• 定期更新镜像以获取最新安全补丁
• 使用强密码并通过环境变量注入，避免硬编码凭证