GeoServer ACL 镜像文档

镜像概述

GeoServer ACL（Access Control List）是为GeoServer设计的高级授权系统，旨在增强GeoServer的访问控制能力。作为GeoServer的配套组件，它提供了细粒度的权限管理机制，允许管理员定义和管理用户、角色对地理空间资源（如工作区、图层、服务等）的访问权限，适用于需要严格权限控制的地理信息服务场景。

核心功能和特性

1. 细粒度访问控制

• 支持针对GeoServer资源层级（工作区、图层组、图层、样式等）的权限管理
• 可定义资源的操作权限（查看、编辑、发布、删除等）
• 支持基于数据内容的动态权限过滤（如按空间范围、属性值限制访问）

2. 灵活的授权策略

• 支持基于角色的访问控制（RBAC）
• 支持基于用户、用户组的直接权限分配
• 支持IP地址、请求来源等上下文条件的访问控制
• 可自定义权限评估规则

3. 与GeoServer无缝集成

• 与GeoServer安全体系深度整合，无需修改GeoServer核心代码
• 支持GeoServer的认证机制（如LDAP、OAuth2、数据库认证等）
• 实时同步GeoServer资源结构变化

4. 管理与审计

• 提供Web管理界面，简化权限配置流程
• 支持权限配置的导入/导出
• 记录权限访问日志，便于审计和问题排查

使用场景和适用范围

企业级地理信息系统

适用于企业内部多部门、多角色协作的地理信息平台，需隔离不同部门对地理数据的访问权限。

多用户地理空间服务平台

为公共地理信息服务平台（如政府地理信息开放平台）提供用户分级授权能力，控制不同用户对敏感数据的访问。

专业地理数据管理系统

在测绘、自然资源、环境监测等领域，用于管理专业地理数据的访问权限，确保数据安全和合规性。

使用方法和配置说明

基本使用（Docker Run）

docker run -d \
  --name geoserver-acl \
  -p 8081:8080 \
  -e GEOSERVER_URL=[***] \
  -e SPRING_DATASOURCE_URL=jdbc:postgresql://db:5432/geoserver_acl \
  -e SPRING_DATASOURCE_USERNAME=acluser \
  -e SPRING_DATASOURCE_PASSWORD=aclpwd \
  geoserver/geoserver-acl:latest

Docker Compose 示例

version: '3.8'
services:
  geoserver:
    image: kartoza/geoserver:latest
    ports:
      - "8080:8080"
    environment:
      - GEOSERVER_ADMIN_PASSWORD=geoserver
    volumes:
      - geoserver_data:/opt/geoserver/data_dir

  geoserver-acl:
    image: geoserver/geoserver-acl:latest
    ports:
      - "8081:8080"
    environment:
      - GEOSERVER_URL=[***]
      - SPRING_DATASOURCE_URL=jdbc:postgresql://db:5432/geoserver_acl
      - SPRING_DATASOURCE_USERNAME=acluser
      - SPRING_DATASOURCE_PASSWORD=aclpwd
      - LOG_LEVEL=INFO
    depends_on:
      - geoserver
      - db

  db:
    image: postgres:14
    environment:
      - POSTGRES_DB=geoserver_acl
      - POSTGRES_USER=acluser
      - POSTGRES_PASSWORD=aclpwd
    volumes:
      - postgres_data:/var/lib/postgresql/data

volumes:
  geoserver_data:
  postgres_data:

环境变量配置

配置参数说明

数据库配置

默认使用嵌入式H2数据库（适合开发测试），生产环境建议使用PostgreSQL或MySQL，通过SPRING_DATASOURCE_*系列环境变量配置数据库连接。

GeoServer集成配置

需确保GEOSERVER_URL正确指向GeoServer服务地址，且GeoServer ACL服务与GeoServer之间网络互通。GeoServer需启用REST API，以便ACL系统同步资源信息。

权限策略配置

通过Web管理界面（默认访问地址：http://<容器IP>:<端口>/admin）配置权限策略，支持可视化创建角色、用户组及资源权限规则。

注意事项

• 首次启动时，系统会自动初始化数据库表结构
• 生产环境中需配置持久化数据库，避免嵌入式H2数据库数据丢失
• 需确保GeoServer版本与GeoServer ACL版本兼容（建议参考官方兼容性矩阵）
• 敏感配置（如数据库密码）建议通过Docker Secrets或环境变量加密方式管理