magentaaps/datafordeler-sts

Datafordeleren安全令牌服务镜像文档

镜像概述和主要用途

本镜像是为Datafordeleren系统设计的安全令牌服务（Secure Token Service，STS）组件，旨在提供标准化的令牌生成、验证、刷新和撤销功能，确保客户端应用对Datafordeleren系统资源的安全访问。通过集中化的令牌管理，降低未授权访问风险，简化身份验证流程，支持符合行业标准的安全协议。

核心功能和特性

核心功能

• 令牌生成：支持JWT（JSON Web Token）等标准格式，根据客户端凭证生成访问令牌
• 令牌验证：验证传入令牌的签名有效性、过期状态及权限范围
• 令牌生命周期管理：支持令牌过期时间配置、自动刷新机制及手动撤销操作
• 客户端认证：通过客户端ID/密钥、证书等方式验证客户端身份

特性

• 安全性：强制HTTPS通信，支持令牌签名算法（如RS256、HS256），防止令牌篡改
• 可配置性：支持自定义令牌过期时间、刷新窗口、权限声明等参数
• 高可用性：支持集群部署，通过分布式缓存同步令牌状态（如Redis集成）
• 审计日志：记录令牌生成、验证、撤销等关键操作日志，便于安全审计
• 兼容性：符合OAuth 2.0/OpenID Connect标准，兼容主流客户端框架

使用场景和适用范围

使用场景

• 客户端应用访问Datafordeleren系统API时的身份验证
• 多服务架构中，服务间调用的安全令牌传递
• 用户通过第三方身份提供商（IdP）登录后，获取访问Datafordeleren的令牌
• 需要临时授权访问特定资源的场景（如一次性令牌）

适用范围

• 集成Datafordeleren系统的企业级应用
• ***机构或公共部门基于Datafordeleren的数据交换平台
• 第三方开发者对接Datafordeleren API的客户端程序
• 内部服务间需要安全通信的微服务架构

使用方法和配置说明

环境要求

• Docker Engine 19.03+
• 网络环境：可访问Datafordeleren后端服务及依赖的数据库/缓存服务（如适用）
• 端口：默认监听8080端口（可配置）

镜像获取

从指定容器仓库拉取镜像：

bash
docker pull [仓库地址]/datafordeleren-sts:[版本标签]

基本使用示例

1. 单容器运行

通过docker run命令启动服务，配置必要环境变量：

bash
docker run -d \
  --name datafordeleren-sts \
  -p 8080:8080 \
  -e STS_PORT=8080 \
  -e TOKEN_SIGNING_KEY="your-256-bit-secret-key" \
  -e ACCESS_TOKEN_EXPIRY=3600 \  # 访问令牌过期时间（秒）
  -e REFRESH_TOKEN_EXPIRY=86400 \  # 刷新令牌过期时间（秒）
  -e DATAFORDELEREN_API_URL="https://datafordeleren.example.com/api" \  # Datafordeleren后端API地址
  -e LOG_LEVEL="INFO" \
  [仓库地址]/datafordeleren-sts:[版本标签]

2. Docker Compose部署

创建docker-compose.yml文件：

yaml
version: '3.8'
services:
  sts:
    image: [仓库地址]/datafordeleren-sts:[版本标签]
    container_name: datafordeleren-sts
    ports:
      - "8080:8080"
    environment:
      - STS_PORT=8080
      - TOKEN_SIGNING_KEY="your-256-bit-secret-key"
      - ACCESS_TOKEN_EXPIRY=3600
      - REFRESH_TOKEN_EXPIRY=86400
      - DATAFORDELEREN_API_URL="https://datafordeleren.example.com/api"
      - LOG_LEVEL="INFO"
      - REDIS_HOST=redis  # 若启用分布式缓存
      - REDIS_PORT=6379
    depends_on:
      - redis  # 可选，用于集群部署时的令牌状态同步
  redis:
    image: redis:alpine
    container_name: sts-redis
    ports:
      - "6379:6379"

启动服务：

bash
docker-compose up -d

配置参数说明

验证服务可用性

服务启动后，可通过以下命令验证健康状态：

bash
curl http://localhost:8080/health

返回{"status":"UP"}表示服务正常运行。

注意事项

• TOKEN_SIGNING_KEY需妥善保管，避免泄露；生产环境建议使用密钥管理服务（如Vault）动态获取
• 建议通过环境变量注入敏感配置，避免硬编码到镜像或配置文件中
• 高并发场景下，建议部署多实例并配合负载均衡，同时启用Redis等分布式缓存同步令牌状态
• 定期轮换令牌签名密钥，并通过版本控制管理镜像更新，确保安全补丁及时应用