ghga/ekss

加密密钥存储服务（Encryption Key Store Service）

镜像概述

该镜像实现加密密钥存储服务，基于GA4GH Crypt4GH标准，提供从加密文件中提取秘密、存储到HashiCorp Vault，并生成用户特定文件信封的功能，适用于敏感数据的安全密钥管理场景。

核心功能

1. 秘密提取与存储：通过POST /secrets端点，从加密文件信封中提取原始密钥，生成新随机密钥并存储到Vault（原始密钥不保存）。
2. 信封生成：通过GET /secrets/{secret_id}/envelopes/{client_pk}端点，使用Vault中的密钥生成用户特定的Crypt4GH信封。
3. 密钥删除：通过DELETE /secrets/{secret_id}端点，删除Vault中的指定密钥。

使用场景

适用于基因数据共享（符合GA4GH标准）、敏感文件加密存储等场景，确保密钥的安全存储与受控访问。

配置说明

必要参数

• server_private_key_path：Crypt4GH私钥文件路径（必填）。
• service_instance_id：服务实例唯一标识（必填）。
• vault_url：Vault实例URL（必填）。
• vault_path：Vault中存储密钥的路径（必填）。

Docker部署示例

拉取镜像

bash
docker pull docker.xuanyuan.run/ghga/encryption-key-store-service:5.3.0

运行容器

bash
docker run -d -p 8080:8080 \
  -v /本地私钥路径:/app/key.sec \
  -e ekss_server_private_key_path="/app/key.sec" \
  -e ekss_service_instance_id="local-ekss-01" \
  -e ekss_vault_url="http://vault:8200" \
  -e ekss_vault_path="ekss" \
  docker.xuanyuan.run/ghga/encryption-key-store-service:5.3.0

Docker Compose示例

yaml
version: '3.8'
services:
  ekss:
    image: docker.xuanyuan.run/ghga/encryption-key-store-service:5.3.0
    ports: [ "8080:8080" ]
    volumes: [ "./key.sec:/app/key.sec" ]
    environment:
      - ekss_server_private_key_path=/app/key.sec
      - ekss_service_instance_id=local-ekss
      - ekss_vault_url=http://vault:8200
      - ekss_vault_path=ekss
  vault:
    image: docker.xuanyuan.run/hashicorp/vault:1.14.0
    ports: [ "8200:8200" ]
    environment:
      - VAULT_DEV_ROOT_TOKEN_ID=root
      - VAULT_DEV_LISTEN_ADDRESS=0.0.0.0:8200

配置方式

支持通过YAML文件（容器内./.ekss.yaml或~/.ekss.yaml）或环境变量（前缀ekss_）配置参数，例如ekss_log_level=DEBUG。

许可证

遵循Apache 2.0许可证，可自由使用和修改。 ===END===