netreconlab/hipaa-postgres

hipaa-postgres

https://github.com/netreconlab/hipaa-postgres/actions/workflows/build.yml/badge.svg](https://github.com/netreconlab/hipaa-postgres/actions/workflows/build.yml) https://github.com/netreconlab/hipaa-postgres/actions/workflows/release.yml/badge.svg](https://github.com/netreconlab/hipaa-postgres/actions/workflows/release.yml) https://github.com/netreconlab/hipaa-postgres/actions/workflows/release-pgpool.yml/badge.svg](https://github.com/netreconlab/hipaa-postgres/actions/workflows/release-pgpool.yml)

一个符合HIPAA和GDPR标准的Postgres数据库镜像，集成PostGIS和PGAudit。设计用于https://github.com/netreconlab/parse-hipaa%EF%BC%8C%E4%BD%86%E5%8F%AF%E5%9C%A8%E4%BB%BB%E4%BD%95%E4%BD%BF%E7%94%A8Postgres%E7%9A%84%E5%9C%BA%E6%99%AF%E4%B8%AD%E9%80%9A%E7%94%A8%E3%80%82%E8%AF%A5Docker%E9%95%9C%E5%83%8F%E5%8C%85%E5%90%ABHIPAA%E5%90%88%E8%A7%84%E6%89%80%E9%9C%80%E7%9A%84%E6%95%B0%E6%8D%AE%E5%BA%93%E5%AE%A1%E8%AE%A1%E5%92%8C%E6%97%A5%E5%BF%97%E5%8A%9F%E8%83%BD%E3%80%82%60hipaa-postgres%60%E5%9F%BA%E4%BA%8Ehttps://hub.docker.com/r/postgis/postgis%E6%9E%84%E5%BB%BA%EF%BC%8C%E8%80%8Cpostgis%E5%88%99%E6%98%AF%E5%9C%A8https://hub.docker.com/_/postgres%E5%9F%BA%E7%A1%80%E4%B8%8A%E6%89%A9%E5%B1%95%E7%9A%84%E9%95%9C%E5%83%8F%E3%80%82

hipaa-postgres提供以下功能：

• 审计与日志记录
• 支持传输加密准备 - 可在代理后运行，并提供使用Nginx和LetsEncrypt完成https://github.com/netreconlab/parse-hipaa#deploying-on-a-real-system%E7%9A%84%E6%96%87%E4%BB%B6%E5%92%8C%E8%AF%B4%E6%98%8E

要实现完全HIPAA合规，您仍需自行完成以下配置：

• 传输加密 - 需完成https://github.com/netreconlab/parse-hipaa#deploying-on-a-real-system
• 静态加密 - 挂载到您自己的加密存储驱动器（Linux和macOS提供相关API），并将驱动器存放在"安全"位置
• 确保完成HIPAA要求的其他所有事项

https://github.com/netreconlab/CareKitSample-ParseCareKit%E5%BA%94%E7%94%A8%E5%B0%86%E6%AD%A4%E9%95%9C%E5%83%8F%E4%B8%8Eparse-hipaa%E5%92%8Chttps://github.com/netreconlab/ParseCareKit%E9%85%8D%E5%90%88%E4%BD%BF%E7%94%A8%E3%80%82%E5%A6%82%E9%9C%80%E8%A6%81Mongo%E5%8F%98%E4%BD%93%EF%BC%8C%E5%8F%AF%E6%9F%A5%E7%9C%8Bhttps://github.com/netreconlab/hipaa-mongo%E3%80%82

使用风险自负。不保证此镜像完全符合HIPAA标准，我们不对任何数据处理不当负责。

镜像

为方便使用，自动构建了多个镜像。可在以下位置获取：

• https://hub.docker.com/r/netreconlab/hipaa-postgres
• https://github.com/netreconlab/hipaa-postgres/pkgs/container/hipaa-postgres

标签

• latest - 指向基于标准https://hub.docker.com/_/postgres%E7%9A%84%E6%9C%80%E6%96%B0%E5%8F%91%E5%B8%83%E7%89%88%E6%9C%AC
• main - 指向基于标准https://hub.docker.com/_/postgres%E7%9A%84%E6%9C%80%E6%96%B0%E4%BB%A3%E7%A0%81%EF%BC%8C%E5%B0%86%E5%9C%A8%E6%9C%AA%E6%9D%A5%E7%89%88%E6%9C%AC%E4%B8%AD%E5%8F%91%E5%B8%83%EF%BC%8C%E5%8F%AF%E8%83%BD%E5%8C%85%E5%90%AB%E7%A0%B4%E5%9D%8F%E6%80%A7%E5%8F%98%E6%9B%B4
• x-x.x - 指向特定Postgres和PostGIS版本，基于标准https://hub.docker.com/_/postgres
• x-x.x-pgpool - 指向特定Postgres和PostGIS版本，基于标准https://hub.docker.com/_/postgres%EF%BC%8C%E5%8C%85%E5%90%ABpgpool%EF%BC%8C%E6%94%AF%E6%8C%81%E9%AB%98%E5%8F%AF%E7%94%A8%E9%85%8D%E7%BD%AE
• x-x.x-percona - 指向基于Percona Distribution for PostgreSQL镜像的特定版本

hipaa-postgres中自动启用的额外包

以下包在PG_PARSE_DB或postgres数据库中自动启用：

• PostGIS - PostgreSQL对象关系数据库的空间数据库扩展
• pgAudit - 提供生成审计日志所需工具，满足***、***或ISO认证审计要求
• https://github.com/pgaudit/set_user - 允许切换用户和可选的权限提升，同时提供增强的日志和控制
• pgBadger - 高性能日志分析器，生成详细报告和专业呈现
• pgBackrest - 可靠易用的备份恢复解决方案，通过优化的算法支持大型数据库和工作负载
• https://reorg.github.io/pg_repack/ - 以最小锁开销重组PostgreSQL数据库表
• https://github.com/eulerto/wal2json - 逻辑解码输出插件
• pgStatStatements - 跟踪服务器执行的所有SQL语句的规划和执行统计信息（PMM所需）
• Percona Monitoring and Management (PMM) - 监控数据库基础设施健康状况，分析数据库行为模式，管理和优化数据库性能

pgpool标签镜像

带有-pgpool标签的镜像包含额外包，便于配置hipaa-postgres与pgpool配合使用。额外包如下：

• pgpool - 管理PostgreSQL服务器池，提供高可用、负载均衡、连接池、在线恢复、连接限制、Watchdog、内存查询缓存等功能
• https://github.com/iputils/iputils - Linux网络工具
• https://github.com/iputils/iputils - 通过SSH协议进行远程登录的连接工具
• supervisor - 允许用户监控和控制类UNIX系统上多个进程的客户端/服务器系统

环境变量

POSTGRES_PASSWORD # Postgres数据库集群密码（实际部署中务必修改）
PG_PARSE_USER # 登录PG_PARSE_DB的用户名（实际部署中务必修改）
PG_PARSE_PASSWORD # 登录PG_PARSE_DB的密码（实际部署中务必修改）
PG_PARSE_DB # parse-hipaa数据库名称
PMM_USER=pmm # Percona监控管理用户名（实际部署中务必修改）
PMM_PASSWORD=pmm # Percona监控管理密码（实际部署中务必修改）
PMM_PORT=80 # Docker镜像上的默认端口
PMM_TLS_PORT=443 # Docker镜像上的默认TLS端口

启动hipaa-postgres

开始使用时，https://github.com/netreconlab/hipaa-postgres/blob/main/docker-compose.yml%E6%8F%90%E4%BE%9B%E4%BA%86%E4%BD%BF%E7%94%A8%E7%A4%BA%E4%BE%8B%EF%BC%8C%E5%8F%AA%E9%9C%80%E6%89%A7%E8%A1%8C%EF%BC%9A

docker-compose up

重要说明：首次运行hipaa-postgres时需要时间进行配置，配置完成前不允许连接。这是因为需要时间https://github.com/netreconlab/hipaa-postgres/tree/main/scripts%E3%80%82%E9%85%8D%E7%BD%AE%E5%AE%8C%E6%88%90%E5%90%8E%EF%BC%8Chipaa-postgres%E5%B0%86%E5%85%81%E8%AE%B8%E8%BF%9E%E6%8E%A5%EF%BC%8C%E6%97%A5%E5%BF%97%E4%B8%AD%E4%BC%9A%E6%98%BE%E7%A4%BA%E7%B1%BB%E4%BC%BC%E4%BB%A5%E4%B8%8B%E6%B6%88%E6%81%AF%EF%BC%9A

db_1 | PostgreSQL init process complete; ready for start up.

之后，hipaa-postgres将允许所有连接。

配置

如计划在生产环境中使用hipaa-postgres，应运行额外脚本来创建优化查询所需的其余索引。

容器中已包含setup-parse-index.sh文件，只需运行该脚本：

1. 登录Docker容器，执行：docker exec -u postgres -ti parse-hipaa_db_1 bash
2. 运行脚本，执行：./parseScripts/setup-parse-index.sh

如需持久化数据库数据，可取消https://github.com/netreconlab/hipaa-postgres/blob/a2d8c2dce8f8288ad8d7b5dbf1c0dc676a466f32/docker-compose.yml#L16-L19%E4%B8%AD%E7%9A%84%E5%8D%B7%E6%8C%82%E8%BD%BD%E8%A1%8C%E6%B3%A8%E9%87%8A%E3%80%82%E7%A1%AE%E4%BF%9D%E5%B0%86%E7%9B%AE%E5%BD%95%E6%9B%B4%E6%94%B9%E4%B8%BADocker%E5%8F%AF%E8%AE%BF%E9%97%AE%E7%9A%84%E5%AE%89%E5%85%A8%E4%BD%8D%E7%BD%AE%E3%80%82

环境变量的默认值在https://github.com/netreconlab/hipaa-postgres/blob/main/docker-compose.yml%E4%B8%AD%E6%8F%90%E4%BE%9B%EF%BC%8C%E7%94%A8%E4%BA%8E%E5%BF%AB%E9%80%9F%E6%9C%AC%E5%9C%B0%E9%83%A8%E7%BD%B2%E3%80%82%E5%A6%82%E8%AE%A1%E5%88%92%E5%9C%A8%E7%94%9F%E4%BA%A7%E7%8E%AF%E5%A2%83%E9%83%A8%E7%BD%B2%EF%BC%8C%E5%8A%A1%E5%BF%85%E4%BF%AE%E6%94%B9%E6%89%80%E6%9C%89%E7%8E%AF%E5%A2%83%E5%8F%98%E9%87%8F%E3%80%82%E6%B3%A8%E6%84%8F%EF%BC%8CPostgres%E9%95%9C%E5%83%8F%E6%8F%90%E4%BE%9B%E9%BB%98%E8%AE%A4%60postgres%60%E7%94%A8%E6%88%B7%E7%94%A8%E4%BA%8E%E9%85%8D%E7%BD%AE%E6%95%B0%E6%8D%AE%E5%BA%93%E9%9B%86%E7%BE%A4%EF%BC%8C%E5%8F%AF%E9%80%9A%E8%BF%87%E4%BF%AE%E6%94%B9%60POSTGRES_PASSWORD%60%E6%9B%B4%E6%94%B9%60postgres%60%E7%94%A8%E6%88%B7%E5%AF%86%E7%A0%81%EF%BC%88%E9%A6%96%E6%AC%A1%E5%88%9D%E5%A7%8B%E5%8C%96%E5%89%8D%EF%BC%89%E3%80%82%E6%9C%89%E8%AE%B8%E5%A4%9Ahttps://hub.docker.com/_/postgres%E5%8F%AF%E4%BF%AE%E6%94%B9%EF%BC%8C%E9%99%A4%E9%9D%9E%E6%82%A8%E7%86%9F%E6%82%89Postgres%E9%85%8D%E7%BD%AE%EF%BC%8C%E5%90%A6%E5%88%99%E4%B8%8D%E5%BA%94%E6%9B%B4%E6%94%B9%E8%BF%99%E4%BA%9B%E5%8F%98%E9%87%8F%EF%BC%8C%E5%90%A6%E5%88%99%E5%8F%AF%E8%83%BD%E5%AF%BC%E8%87%B4%E9%95%9C%E5%83%8F%E6%97%A0%E6%B3%95%E6%AD%A3%E5%B8%B8%E5%B7%A5%E4%BD%9C%E3%80%82%E6%B3%A8%E6%84%8F%EF%BC%8C%E4%B8%8A%E8%BF%B0%E5%8F%82%E6%95%B0%E7%9A%84%E6%9B%B4%E6%94%B9%E4%BB%85%E5%9C%A8%E9%A6%96%E6%AC%A1%E6%9E%84%E5%BB%BA%E5%92%8C%E8%BF%90%E8%A1%8C%E9%95%9C%E5%83%8F%E5%89%8D%E4%BF%AE%E6%94%B9%E6%89%8D%E4%BC%9A%E7%94%9F%E6%95%88%E3%80%82%E4%B9%8B%E5%90%8E%EF%BC%8C%E9%9C%80%E9%80%9A%E8%BF%87%E4%BB%A5%E4%B8%8B%E5%91%BD%E4%BB%A4%E8%BF%9E%E6%8E%A5%E5%88%B0%E9%95%9C%E5%83%8F%E8%BF%9B%E8%A1%8C%E6%89%80%E6%9C%89%E6%9B%B4%E6%94%B9%EF%BC%9A

docker exec -u postgres -ti parse-hipaa_db_1 bash

然后可使用psql进行修改。通过psql，还可添加多个数据库和用户，以支持多个parse应用。

使用Percona监控管理监控数据库

hipaa-postgres已自动配置为允许访问PMM。如使用https://github.com/netreconlab/hipaa-postgres/blob/main/docker-compose.yml%E6%96%87%E4%BB%B6%EF%BC%8C%E5%8F%AF%E9%80%9A%E8%BF%87%E8%AE%BF%E9%97%AEhttp://localhost:1080/%E8%BF%9B%E8%A1%8C%E8%AE%BF%E9%97%AE%E3%80%82%E5%85%B6%E4%BB%96%E4%BF%A1%E6%81%AF%E5%A6%82%E4%B8%8B%EF%BC%9A

• 用户名/密码 - admin/admin，首次登录时PMM会提示修改
• 向PMM添加数据库
  1. 进入设置->Add Instance to PMM->PostgreSQL
  2. 主机名输入db
  3. 用户名输入环境变量中配置的PMM_USER
  4. 密码输入环境变量中配置的PMM_PASSWORD
  5. 点击Add service...数据开始填充可能需要长达5分钟。执行上述步骤后，PMM会立即提示连接问题。在仪表板的PostgreSQL部分可查看PMM是否能正确连接并读取数据库version
  6. 查看文档了解更多PMM信息

部署到实际系统

此处的docker配置文件旨在运行在已正确配置SSL以加密传输数据的代理之后。要为parse-hipaa创建代理，可使用https://github.com/netreconlab/parse-hipaa/tree/master/nginx/sites-enabled%E6%8F%90%E4%BE%9B%E7%9A%84Nginx%E6%96%87%E4%BB%B6%E3%80%82%E5%8F%AA%E9%9C%80%E5%B0%86https://github.com/netreconlab/parse-hipaa/tree/master/nginx/sites-enabled%E6%96%87%E4%BB%B6%E5%A4%B9%E6%B7%BB%E5%8A%A0%E5%88%B0Nginx%E7%9B%AE%E5%BD%95%EF%BC%8C%E5%B9%B6%E5%9C%A8nginx.conf%E7%9A%84%22http%22%E9%83%A8%E5%88%86%E6%B7%BB%E5%8A%A0%E4%BB%A5%E4%B8%8B%E5%86%85%E5%AE%B9%EF%BC%9A

http {
    include /usr/local/etc/nginx/sites-enabled/*.conf; #添加此行到末尾（适用于macOS，其他系统按需调整）
}

使用LetsEncrypt设置免费证书，按照此处的说明操作。确保在https://github.com/netreconlab/parse-hipaa/blob/master/nginx/sites-enabled/default-ssl.conf%E4%B8%AD%E6%9B%B4%E6%94%B9%E8%AF%81%E4%B9%A6%E5%92%8C%E5%AF%86%E9%92%A5%E8%A1%8C%EF%BC%8C%E6%8C%87%E5%90%91%E6%AD%A3%E7%A1%AE%E4%BD%8D%E7%BD%AE%E3%80%82