ghga/wps

Work Package Service

镜像概述

Work Package Service（WPS）是GHGA（德国人类基因组联盟）开发的授权服务，用于管理数据集文件下载和研究数据上传的权限。在用户执行下载或上传操作前，客户端需创建描述预期工作的“工作包”，该服务存储工作包并作为授权中介：验证用户权限，生成文件服务接受的短期令牌，保障操作的安全性与合规性。

核心功能

1. 工作包管理
   • 创建工作包：返回加密的工作包访问令牌（仅用户可解密）
   • 查询工作包详情：通过工作包访问令牌获取信息
2. 令牌生成
   • 为单个操作（下载文件、上传文件等）生成加密的工作订单令牌，由文件服务验证
3. 权限查询
   • 获取用户可下载的数据集列表
   • 获取用户可上传的上传箱列表
4. 事件同步
   • 消费数据集、上传箱及文件accession事件，维护内部数据视图

使用场景

适用于科研数据平台的授权场景：

• 科研人员下载授权数据集文件时，通过该服务获取临时令牌
• 研究团队上传实验数据到指定上传箱时，验证权限并生成上传令牌
• 平台管理员管理用户对数据集和上传箱的访问权限

配置说明

部署方式

Docker部署

1. 拉取镜像：

bash
docker pull docker.xuanyuan.run/ghga/work-package-service:11.1.1

2. 运行容器（基础示例）：

bash
docker run -p 8080:8080 docker.xuanyuan.run/ghga/work-package-service:11.1.1 --help

3. 自建镜像：

bash
# 仓库根目录执行
docker build -t ghga/work-package-service:11.1.1 .

源码安装

bash
# 仓库根目录执行
pip install .
# 启动服务
wps --help

关键配置参数

需通过YAML文件（如.wps.yaml）、环境变量（前缀wps_）或文件secrets配置以下参数：

• mongo_dsn：MongoDB连接字符串（必填）
• work_package_signing_key：工作订单令牌签名私钥（必填）
• kafka_servers：Kafka bootstrap服务器列表（必填）
• access_url：内部访问API基础URL（必填）
• auth_key：GHGA内部公钥（用于验证令牌签名，必填）

HTTP API

服务提供OpenAPI规范，可通过/openapi.json获取完整接口文档。

架构设计

基于Python实现，遵循Triple Hexagonal Architecture模式，使用hexkit库提供的协议/提供者对与依赖注入机制，确保服务的可扩展性与可维护性。