mozilla/autograph

Autograph 数字签名微服务镜像文档

镜像概述

Autograph是一个轻量级数字签名微服务，旨在提供集中化、安全的数字签名解决方案。该服务设计用于处理各种签名请求，支持多种加密算法，确保签名过程的安全性、可追溯性和一致性。适用于需要对软件包、文档、API请求等进行数字签名的场景，帮助企业和开发团队简化签名流程并增强安全性。

核心功能与特性

主要功能

• 多算法支持：兼容RSA、ECDSA、Ed25519等主流数字签名算法
• 签名请求验证：对传入的签名请求进行身份验证和权限检查
• 密钥管理：支持密钥的安全存储、轮换和生命周期管理
• 审计日志：记录所有签名操作，提供完整的审计跟踪能力
• 高可用性：支持集群部署，确保服务持续可用

核心特性

• 轻量化设计，资源占用低，部署灵活
• 可配置的签名策略，支持自定义签名规则
• RESTful API接口，易于集成到现有系统
• 支持TLS加密传输，保障数据传输安全
• 可扩展架构，支持添加自定义签名插件

使用场景与适用范围

典型使用场景

• 软件发布签名：为软件安装包、更新文件提供数字签名，确保完整性和来源可信
• 文档签名：对重要文档（如合同、报告）进行数字签名，防止篡改
• API请求签名：验证API请求的合法性，防止未授权访问
• 内部服务通信：确保微服务之间通信的完整性和真实性

适用范围

• 需要集中化管理数字签名的企业级应用
• 开发团队的CI/CD流程中集成签名步骤
• 对安全性要求高的***、***等行业系统
• 需要符合合规要求（如电子签名***）的业务场景

使用方法与配置说明

基本部署（Docker Run）

bash
docker run -d \
  --name autograph \
  -p 8080:8080 \
  -v /path/to/config:/etc/autograph \
  -v /path/to/keys:/var/lib/autograph/keys \
  -e AUTOGRAPH_LOG_LEVEL=info \
  mozilla/autograph:latest

Docker Compose 配置示例

yaml
version: '3'
services:
  autograph:
    image: mozilla/autograph:latest
    container_name: autograph
    ports:
      - "8080:8080"
    volumes:
      - ./config:/etc/autograph
      - ./keys:/var/lib/autograph/keys
    environment:
      - AUTOGRAPH_LOG_LEVEL=info
      - AUTOGRAPH_LISTEN_ADDR=0.0.0.0:8080
      - AUTOGRAPH_KEY_DIR=/var/lib/autograph/keys
    restart: unless-stopped

配置参数说明

环境变量配置

配置文件示例（config.yaml）

yaml
signers:
  - id: software-signer
    type: rsa
    private_key: /var/lib/autograph/keys/software-rsa.key
    public_key: /var/lib/autograph/keys/software-rsa.pub
    algorithm: sha256WithRSAEncryption
    allowed_issuers: ["ci-system", "release-team"]

  - id: document-signer
    type: ecdsa
    private_key: /var/lib/autograph/keys/document-ecdsa.key
    curve: P-256
    algorithm: sha256WithECDSAEncryption
    allowed_issuers: ["legal-team"]

log:
  level: info
  format: json

server:
  read_timeout: 10s
  write_timeout: 10s

密钥管理

1. 密钥生成：使用OpenSSL等工具生成密钥对，例如：

   bash
   # 生成RSA密钥对
   openssl genrsa -out software-rsa.key 2048
   openssl rsa -in software-rsa.key -pubout -out software-rsa.pub
   

2. 密钥存储：将生成的密钥文件挂载到容器内的/var/lib/autograph/keys目录，并在配置文件中指定路径。

3. 密钥轮换：定期生成新密钥，更新配置文件并重启服务，确保签名服务的持续安全。

API使用示例

发送签名请求

bash
curl -X POST http://localhost:8080/sign \
  -H "Content-Type: application/json" \
  -d '{
    "signer_id": "software-signer",
    "input": "SGVsbG8gV29ybGQh",
    "issuer": "ci-system"
  }'

响应示例

json
{
  "signatures": [
    {
      "signer_id": "software-signer",
      "signature": "base64-encoded-signature",
      "algorithm": "sha256WithRSAEncryption",
      "timestamp": "2024-05-20T12:34:56Z"
    }
  ]
}