oryd/keto

ORY Keto Docker镜像

镜像概述

本镜像为ORY Keto的官方Docker部署形式，ORY Keto是一款开源权限服务器，基于Google Zanzibar权限模型设计，旨在帮助开发者实现符合云服务最佳实践的复杂权限管理系统。该镜像提供了开箱即用的权限服务能力，支持灵活的权限规则定义与验证。

核心功能和特性

• 云原生最佳实践：遵循云服务提供商（如Google、AWS）的权限系统设计标准，确保高可用性和可扩展性
• 复杂权限表达：支持多维度权限关系（用户-资源-操作），可定义层级权限、条件权限等复杂规则
• Zanzibar兼容：实现Google Zanzibar权限模型，支持关系元组（Relationship Tuples）和权限检查API
• 开源可扩展：完全开源（Apache 2.0许可证），支持自定义权限逻辑扩展和第三方系统集成
• 多环境适配：支持容器化部署，兼容Kubernetes、Docker Compose等主流编排工具

使用场景和适用范围

• 企业级应用的细粒度权限控制（如SaaS平台、协作工具）
• 多租户系统的资源访问权限管理
• 需要动态调整权限策略的复杂业务场景（如内容共享、团队权限）
• 遵循零信任架构的权限基础设施搭建
• 需要审计和追溯权限变更的合规场景

使用方法和配置说明

基础部署

通过以下命令快速启动ORY Keto服务：

bash
docker run -d \
  --name keto \
  -p 4466:4466 \  # 公共API端口
  -p 4467:4467 \  # 管理API端口
  -e KETO_DSN="postgres://user:password@postgres:5432/keto?sslmode=disable" \  # 数据库连接
  oryd/keto:latest serve

关键配置参数

ORY Keto通过环境变量或配置文件进行配置，核心环境变量包括：

• KETO_DSN：数据库连接字符串（支持PostgreSQL、MySQL、SQLite等）
• KETO_LOG_LEVEL：日志级别（可选：debug、info、warn、error，默认info）
• KETO_CORS_ALLOWED_ORIGINS：允许的跨域请求源（如"[***]"）
• KETO_NAMESPACE_CONFIG：权限命名空间配置文件路径（定义权限模型）
• KETO_SERVE_TLS_ENABLED：是否启用TLS（生产环境建议开启）

Docker Compose示例

yaml
version: '3.8'
services:
  keto:
    image: oryd/keto:latest
    restart: always
    ports:
      - "4466:4466"
      - "4467:4467"
    environment:
      - KETO_DSN=postgres://keto:secret@postgres:5432/keto?sslmode=disable
      - KETO_LOG_LEVEL=info
      - KETO_NAMESPACE_CONFIG=/etc/keto/namespaces.yaml
    volumes:
      - ./namespaces.yaml:/etc/keto/namespaces.yaml  # 挂载权限模型配置
    depends_on:
      - postgres

  postgres:
    image: postgres:15-alpine
    restart: always
    environment:
      - POSTGRES_USER=keto
      - POSTGRES_PASSWORD=secret
      - POSTGRES_DB=keto
    volumes:
      - postgres-data:/var/lib/postgresql/data

volumes:
  postgres-data:

参考文档

完整配置说明、权限模型定义及API文档请参考：
ORY Keto官方文档