ngeorger/ghost-on-kubernetes

Ghost on Kubernetes (v6.x) 由SREDevOps.Org提供

使用经过强化的多架构容器镜像，在Kubernetes上部署领先的开源发布平台Ghost，实现最高级别的安全性和效率。

由 SREDevOps.org 维护：提供SRE、DevOps、Linux、道德黑客、AI、ML、开源、云原生、平台工程相关内容，支持英语、西班牙语和葡萄牙语（巴西）。

https://github.com/sredevopsorg/ghost-on-kubernetes/actions/workflows/multi-build.yaml/badge.svg?branch=main](https://github.com/sredevopsorg/ghost-on-kubernetes/actions/workflows/multi-build.yaml) https://api.securityscorecards.dev/projects/github.com/sredevopsorg/ghost-on-kubernetes/badge](https://securityscorecards.dev/viewer/?uri=github.com/sredevopsorg/ghost-on-kubernetes) ![OpenSSF最佳实践]([] ![Artifact Hub]([]

核心亮点：安全性与高效性

本仓库基于https://github.com/TryGhost/Ghost%E7%9A%84Ghost CMS v6.xx.x版本，通过自定义构建的镜像在Kubernetes上实现部署，为生产环境使用提供显著改进和安全特性。

增强的安全性

• 非root执行：Ghost和MySQL组件均以非root用户（UID/GID 65532）在Kubernetes中运行，防止潜在的权限提升***。
• 无发行版运行时：采用Google Container Tools Distroless Debian 13 - NodeJS 22作为最终运行时环境。无发行版镜像仅包含应用程序和语言依赖项，不含shell和包管理器，大幅提升安全性并减少***面。
• 漏洞减少：通过用原生容器执行流程替代gosu并采用无发行版镜像，消除了原始Ghost镜像中报告的多个关键漏洞：
  • 成果：仅此一项更改就减少了官方镜像中Docker Scout报告的6个严重漏洞和34个高危漏洞。

安全报告示例：

性能与架构

• 自定义构建制品：为生产和开发维护两个独立的Dockerfile：
  • 生产镜像：通过强化的多阶段构建流程构建的主镜像。参见https://github.com/sredevopsorg/ghost-on-kubernetes/blob/main/Dockerfile%E3%80%82
  • 开发镜像：为测试定制的变体，包含SQLite支持。参见https://github.com/sredevopsorg/ghost-on-kubernetes/blob/main/Dockerfile-dev%E3%80%82
• 多架构支持：镜像支持amd64和arm64架构。
• 多阶段构建：使用官方Node 22 Jod LTS镜像进行构建，显著减小最终镜像大小，并通过移除不必要的构建组件提升安全性。
• 更新的Ghost v6和NodeJS 22 LTS：使用最新稳定版本以确保安全性和性能。
• 健壮的入口脚本（entrypoint.js）：由非特权用户执行的自定义Node.js入口脚本，在启动Ghost应用前处理必要的运行时操作（如更新默认主题）。脚本可在此查看：https://github.com/sredevopsorg/ghost-on-kubernetes/blob/main/entrypoint.js%E3%80%82
• 专用初始化容器：部署包含initContainer，在主Ghost容器启动前处理目录创建、正确的所有权（UID/GID 65532）和权限设置，确保在无发行版容器中无缝运行。

部署架构概述

本项目提供完整的Kubernetes清单文件（deploy/），用于运行由MySQL数据库支持的生产就绪型Ghost实例。

注意：通过替换每个清单文件中的命名空间规范，可以托管多个Ghost实例。

安装说明（生产环境）

按照以下步骤在Kubernetes集群上部署Ghost。

前提条件

1. 功能正常的Kubernetes集群（已配置kubectl）。
2. 已配置的StorageClass（PVC必需）。

0. 克隆（或分支）仓库

bash
## 克隆仓库  
git clone https://github.com/sredevopsorg/ghost-on-kubernetes.git --depth 1 --branch main --single-branch --no-tags  
## 进入目录  
cd ghost-on-kubernetes

1. 查看并配置

查看示例配置文件，并修改deploy/文件夹中的清单以适应您的环境（如存储类、域名、密钥值）。

• 配置：查看https://github.com/sredevopsorg/ghost-on-kubernetes/blob/main/examples/%E7%9B%AE%E5%BD%95%E4%B8%AD%E7%9A%84%E7%A4%BA%E4%BE%8B%E9%85%8D%E7%BD%AE%E6%96%87%E4%BB%B6%EF%BC%9A
  • config.production.sample.yaml：推荐的MySQL 8配置。url字段和Ingress配置需要有效的顶级域名（TLD）。
  • config.development.sample.yaml：用于测试环境的SQLite配置。
• 官方Ghost文档：参考官方Ghost文档了解详细配置选项。

2. 部署顺序

必须按正确顺序应用清单，以确保依赖项解析（尤其是数据库组件）。

1. 创建命名空间：

   bash
    kubectl apply -f deploy/00-namespace.yaml
   

2. 创建密钥（凭据和配置）：

   bash
   # 重要：应用前自定义这些密钥  
   kubectl apply -f deploy/01-mysql-config.yaml  
   kubectl apply -f deploy/04-ghost-config.yaml  
   kubectl apply -f deploy/01-tls.yaml
   

3. 创建持久存储和服务：

   bash
   kubectl apply -f deploy/02-pvc.yaml  
   kubectl apply -f deploy/03-service.yaml
   

4. 部署MySQL数据库（StatefulSet）：

   bash
   # 等待MySQL PVC绑定完成  
   kubectl apply -f deploy/05-mysql.yaml
   

5. 部署Ghost应用（Deployment）：

   bash
   # 等待MySQL准备就绪后启动  
   kubectl apply -f deploy/06-ghost-deployment.yaml
   

6. 通过Ingress暴露Ghost（可选/推荐）：

   bash
   # 将外部流量路由到Ghost服务  
   kubectl apply -f deploy/07-ingress.yaml
   

您的Ghost博客已部署完成！

恭喜！您已在Kubernetes上部署了高度安全且可扩展的Ghost v6实例。

无域名访问（测试）

若要在不配置Ingress或顶级域名的情况下预览网站，可使用端口转发：

1. 临时将config.production.json密钥中的url和admin URL配置为http://localhost:2368/。
2. 更新密钥后重启Ghost Pod。
3. 运行端口转发命令：

bash
kubectl port-forward -n ghost-on-kubernetes services ghost-on-kubernetes-service 2368:2368

贡献

我们欢迎社区贡献！请查看https://github.com/sredevopsorg/ghost-on-kubernetes/blob/main/CONTRIBUTING.md%E4%BA%86%E8%A7%A3%E8%B4%A1%E7%8C%AE%E6%96%B9%E5%BC%8F%E3%80%82

许可和致谢

• 本项目采用MIT许可证。详见https://github.com/sredevopsorg/ghost-on-kubernetes/blob/main/LICENSE%E6%96%87%E4%BB%B6%E3%80%82
• Ghost CMS采用https://github.com/TryGhost/Ghost/blob/main/LICENSE%E3%80%82
• node镜像和Distroless镜像由各自所有者授权。

收藏历史

!收藏历史图表