neicnordic/sda-db

NeIC SDA 数据库定义与Docker镜像

镜像概述和主要用途

本镜像为NeIC SDA（Secure Data Archive）提供数据库支持，基于Postgres 11.2和Alpine 3.9构建。镜像专注于安全性强化，适用于需要严格数据保护的场景，提供预配置的用户、模式及安全通信机制。

核心功能和特性

• 安全强化：

  • 禁用本地连接的"trust"认证方式
  • 强制所有连接使用密码认证
  • 采用scram-sha-256加密（安全性高于md5）
  • 强制TLS加密通信
  • 支持客户端证书验证

• 预配置用户与模式：

  • 用户：lega_in 和 lega_out
  • 模式：local_ega、local_ega_download，以及供EBI访问的local_ega_ebi

使用场景和适用范围

适用于NeIC SDA相关的数据归档、管理和访问场景，特别适合对数据安全性要求高的环境，如科研数据管理、敏感信息存储等需要严格访问控制和加密通信的场景。

配置说明

环境变量配置

以下环境变量可用于配置数据库：

TLS支持配置

注意：若未注入证书文件，系统将使用SSL_SUBJ生成自签名的公钥/私钥证书对，并保存到PG_SERVER_CERT和PG_SERVER_KEY指定路径。仅当PG_CA存在且PG_VERIFY_PEER设为1时，才会强制客户端证书验证。

使用方法

Docker Run示例

bash
docker run -d \
  --name neic-sda-db \
  -v /host/pgdata:/var/lib/postgresql \
  -e DB_LEGA_IN_PASSWORD=secure_in_password \
  -e DB_LEGA_OUT_PASSWORD=secure_out_password \
  -e TZ=Asia/Shanghai \
  -e PG_VERIFY_PEER=1 \
  neic-sda-db:latest

关键配置说明

1. 数据持久化：通过-v挂载PGVOLUME（默认/var/lib/postgresql）到宿主机目录，确保数据持久化。
2. 密码设置：必须设置DB_LEGA_IN_PASSWORD和DB_LEGA_OUT_PASSWORD，否则无法正常启动。
3. TLS配置：如需启用客户端验证，需确保PG_CA路径存在CA证书，并将PG_VERIFY_PEER设为1。