IBM Security Verify Bridge

镜像概述和主要用途

IBM Security Verify Bridge用于建立IBM Cloud环境与本地的连接，主要提供以下功能：访问本地LDAP认证和用户属性、管理本地端点（协助配置和协调）、通过外部模块支持扩展到本地资源。其与IBM® Security Verify租户的主要连接采用HTTP或HTTPS长轮询，由Bridge发起，需授权访问令牌（Bridge在启动时获取并定期刷新），建立连接后流量从Verify流向Bridge。

核心功能和特性

• 本地资源访问：支持从IBM Cloud组件访问本地LDAP认证和用户属性。
• 本地端点管理：协助本地端点的配置和协调管理。
• 可扩展性：通过外部模块支持扩展到更多本地资源。
• 连接机制：采用长轮询连接（HTTP/HTTPS），由Bridge发起，需授权访问令牌并定期刷新，建立后流量从Verify流向Bridge。

系统要求

• CPU：4核（保留）。
• 系统内存：8 GB（保留）。
• 磁盘空间：至少50 GB可用硬盘空间。
• 操作系统：支持Linux容器的Linux操作系统，详见Docker安装文档。
• Docker引擎：17.05.0-ce或更高版本。
• Docker Compose：详见Docker Compose安装文档。
• 必须条件：能够连接到具有身份治理订阅的IBM® Security Verify租户。

部署和使用方法

部署IBM Security Verify Bridge

1. 拉取镜像并查看许可

bash
docker pull ibmcom/verify-bridge:latest

docker run --rm ibmcom/verify-bridge:latest license

注意：部署IBM Security Verify Bridge时，必须在docker-compose.yml文件中通过参数LICENSE_ACCEPT: "yes"接受许可。

2. 创建docker-compose.yml文件

yaml
version: "3"
services:
    verify-bridge:
         image: ibmcom/verify-bridge:latest
         container_name: verify-bridge
         environment:
                TRACE: "false"
                LICENSE_ACCEPT: "yes"  # 必须接受许可
                TENANT_URI: "<tenantURL>"  # 替换为租户URL
                CLIENT_ID: "<clientID>"  # 替换为客户端ID
                OBF_CLIENT_SECRET: "<obfClientSecret>"  # 替换为加密后的客户端密钥
                # 可选：TENANT_PROXY: "<proxyURL>"  # 如需通过代理访问租户，添加此行
         restart: always

说明：

• TENANT_URI、CLIENT_ID、OBF_CLIENT_SECRET需替换为在IBM Security Verify配置面板完成代理配置后生成的值。
• OBF_CLIENT_SECRET通过加密CLIENT_SECRET生成，命令如下：

  bash
  docker run -e "LICENSE_ACCEPT=yes" --rm ibmcom/verify-bridge:latest obfuscate "<clientSecret>"
  

  示例：

  bash
  docker run -e "LICENSE_ACCEPT=yes" --rm ec014e9d24a7 obfuscate "passw0rd"
  INFO: Found end user license acceptance.
  ccxDMMPSE62AYi3o7y+cNCE+xCtTLOyEHZ5MCw4IUzA=
  

  输出的最后一行即为OBF_CLIENT_SECRET的值。
• 为保持向后兼容性，也可使用明文CLIENT_SECRET环境变量代替OBF_CLIENT_SECRET。

3. 部署IBM Security Verify Bridge

bash
docker-compose -f docker-compose.yml up -d

4. 升级Bridge

bash
docker stop verify-bridge
docker rm verify-bridge
docker-compose -f docker-compose.yml pull
docker-compose -f docker-compose.yml up -d

5. 验证容器状态

bash
docker ps

查看容器状态是否正常运行。

6. 查看日志和故障排除

bash
docker logs -f verify-bridge

注意事项

• 未来镜像已迁移至IBM Container Registry：docker://icr.io/isv-saas/verify-bridge:latest（版本1.0.13.1），详见IBM Container Registry文档。
• 必须接受许可才能部署，即LICENSE_ACCEPT必须设置为"yes"。
• 确保Bridge能连接到具有身份治理订阅的IBM® Security Verify租户。