evgeniypatlan/test-images

Percona Server 8.4 — 硬化版

这是Percona Server 8.4 LTS的Docker硬化镜像（DHI），旨在为生产部署提供最小***面。

镜像地址: evgeniypatlan/test-images:percona-server-8.4-hardened
基础镜像: dhi.io/debian-base:trixie（由Docker签名并包含SBOM）
运行用户: mysql（uid 1001）
架构: linux/amd64

快速启动

bash
# 带密码的单节点部署
docker run -d --name ps \
    -e MYSQL_ROOT_PASSWORD=secret \
    -v ps-data:/var/lib/mysql \
    evgeniypatlan/test-images:percona-server-8.4-hardened

# 带初始化 schema 和应用用户的部署
docker run -d --name ps \
    -e MYSQL_ROOT_PASSWORD=rootpw \
    -e MYSQL_DATABASE=app \
    -e MYSQL_USER=appuser \
    -e MYSQL_PASSWORD=apppw \
    -v ps-data:/var/lib/mysql \
    -v $(pwd)/initdb:/docker-entrypoint-initdb.d:ro \
    evgeniypatlan/test-images:percona-server-8.4-hardened

# 硬化运行时配置
docker run -d --name ps \
    --read-only \
    --tmpfs /tmp:rw,size=64m,mode=1777 \
    --tmpfs /var/run/mysqld:rw,size=8m,uid=1001,gid=1001,mode=0755 \
    --security-opt no-new-privileges:true \
    --cap-drop ALL --cap-add CHOWN --cap-add SETGID --cap-add SETUID \
    -e MYSQL_ROOT_PASSWORD=secret \
    -v ps-data:/var/lib/mysql \
    evgeniypatlan/test-images:percona-server-8.4-hardened

环境变量

不支持的功能（会抛出明确错误，建议使用percona/percona-server:8.4）：
MYSQL_RANDOM_ROOT_PASSWORD、MYSQL_ROOT_HOST != localhost、MYSQL_ONETIME_PASSWORD、INIT_ROCKSDB、INIT_TOKUDB、/docker-entrypoint-initdb.d/中的.sh或.sql.gz文件。

连接方式

该镜像不含mysql客户端，建议使用Sidecar客户端容器：

bash
# 通过共享网络命名空间的TCP连接（使用MYSQL_USER@'%'，不支持root）
docker run --rm --network container:ps \
    mysql:8.4 mysql -h127.0.0.1 -uappuser -papppw app

# 通过docker exec使用socket进行管理
docker exec ps mysqladmin -uroot -p"$MYSQL_ROOT_PASSWORD" status

TCP根访问被刻意阻止：服务器启用skip-name-resolve，且入口脚本仅创建root@localhost（仅匹配UNIX socket连接）。

健康检查

内置健康检查：每30秒执行mysqladmin ping -h127.0.0.1，启动等待期60秒，重试3次。docker ps会显示(healthy)状态，可在Docker Compose中使用depends_on: condition: service_healthy。

安全态势

• 非root运行：使用USER mysql（uid 1001），无setuid二进制文件
• DHI基础镜像：dhi.io/debian-base:trixie，由Docker签名并包含SBOM
• 类Distroless风格：无apt、dpkg、bash、mysql客户端、mysqlsh、mysqldump、mysql_upgrade或交互式shell
• 仅POSIX sh：使用dash作为/bin/sh，无libreadline/libtinfo/ncurses（相比普通Debian基础镜像减少4个高危CVE）
• Stubbed libsystemd.so.0：替换为约30行代码的无操作实现，解决sd_notify()调用同时消除CVE风险
• 精简依赖库：仅保留ldd检测所需的库，无完整Debian用户空间
• 最小化/etc/passwd：仅包含root和mysql用户
• 内联SBOM：SPDX 2.3格式文件位于/usr/local/percona-server.spdx.json
• 保留完整Percona插件集：InnoDB、RocksDB、audit_log、keyring_vault、group_replication、thread_pool，可通过INSTALL PLUGIN加载

CVE状态

最新构建的镜像经Trivy扫描结果：

• 0个 critical
• 3个 high：均存在于percona-telemetry-agent的Go标准库（≤1.26.1）；需Percona使用Go 1.26.2重建修复。若这些CVE影响部署，可在运行时设置PERCONA_TELEMETRY_DISABLE=1。

与percona/percona-server:8.4的区别

Percona Server二进制文件相同，仅运行环境不同。若上述“不支持”特性对您的场景重要，建议使用非硬化版镜像。