islandora/base

Islandora 基础镜像 (Base Image)

镜像概述

Islandora 基础镜像是所有其他 Islandora 镜像的派生基础。该镜像不旨在单独运行，而是作为 Islandora 生态系统中各类服务镜像（如 Drupal、Fedora 等）的构建基石。其构建基于 https://github.com/Islandora-DevOps/isle-buildkit/tree/main/base 项目，底层采用 Alpine Linux，并集成 https://github.com/just-containers/s6-overlay 进程管理工具和 https://github.com/kelseyhightower/confd 配置管理工具。

核心功能与特性

• 轻量级基础：基于 Alpine Linux，提供精简的操作系统环境，减小镜像体积。
• 进程管理：集成 s6 overlay，实现容器内多进程管理和服务生命周期控制。
• 动态配置：集成 confd，支持通过环境变量或 etcd 后端动态生成配置文件。
• 统一配置标准：内置通用环境变量（如 JWT、数据库连接参数），减少下游镜像的配置重复。

使用场景与适用范围

作为 Islandora 生态系统的基础镜像，主要用于：

• 构建 Islandora 相关服务镜像（如 Drupal、Fedora、Solr 等）的底层依赖。
• 为各类服务提供统一的运行时环境（如用户权限、配置目录、基础工具链）。
• 支持开发、测试及生产环境中 Islandora 服务的标准化部署。

依赖项

• Alpine Linux 版本：需在项目根目录的 docker-bake.hcl 文件中指定 alpine 版本（如 alpine:3.18）。

配置说明

confd 配置

confd 用于动态生成配置文件，以下环境变量驱动其核心行为，必须通过容器环境变量显式设置（不可通过 confd 自身配置提供）：

说明：无需依赖 etcd，默认通过环境变量即可满足配置需求，适合简化部署场景。

证书配置（开发环境）

本地开发时，可通过以下环境变量注入自定义证书，使容器内工具（如 curl、Java 应用）信任开发证书：

证书生成示例（mkcert）

使用 https://github.com/FiloSottile/mkcert 生成本地开发证书（以 islandora.dev 为域名，该域名默认指向 127.0.0.1）：

bash
# 安装 mkcert 根证书到系统信任库
mkcert -install

# 生成多域名证书（包含本地回环地址）
mkcert \
  -cert-file cert.pem \
  -key-file privkey.pem \
  "*.islandora.dev" \
  "islandora.dev" \
  "localhost" \
  "127.0.0.1" \
  "::1"

生成后：

• cert.pem 作为 CERT_PUBLIC_KEY 的值；
• CA 根证书（路径通过 mkcert -CAROOT 查看）作为 CERT_AUTHORITY 的值。

注意：生产环境无需配置，仅用于本地开发时信任自签名证书。

JWT 认证配置

Islandora 生态中多个服务通过 JWT 认证（如 Drupal 与 Fedora 通信），基础镜像提供以下统一环境变量：

生成 JWT 密钥对

使用以下命令生成 RSA 公私钥对（无密码保护）：

bash
ssh-keygen -q -t rsa -m pem -f /tmp/JWT -N ""

生成后：

• /tmp/JWT（私钥）对应 JWT_PRIVATE_KEY；
• /tmp/JWT.pub（公钥）对应 JWT_PUBLIC_KEY。

安全说明：密钥对存储于容器 /opt/keys 目录，仅 jwt 组可读取。服务如需访问密钥，需将运行用户添加至 jwt 附加组。

数据库配置

基础镜像提供统一的数据库连接配置，通过 DB_DRIVER 指定数据库类型，自动匹配对应环境变量：

说明：下游服务镜像可通过添加前缀（如 FCREPO_DB_NAME）实现多服务独立配置。

开发环境配置

本地开发时，可通过以下环境变量解决容器内用户与宿主机用户 ID 冲突（避免文件权限问题）：

注意事项

1. 非独立运行：本镜像仅作为基础依赖，不可直接通过 docker run 启动，需由下游服务镜像继承使用。
2. 证书安全：CERT_PUBLIC_KEY 和 CERT_AUTHORITY 仅用于本地开发，生产环境应使用公开可信证书。
3. 密钥管理：JWT 私钥和数据库密码等敏感信息需通过安全方式注入（如 Docker Secrets、Kubernetes Secrets），避免明文配置。
4. 驱动支持：当前数据库驱动仅支持 mysql 和 postgresql，如需其他类型需下游镜像扩展。