quiq/docker_auth

docker_auth 镜像文档

镜像概述

该镜像基于Alpine Linux构建，集成了docker_auth认证服务，旨在为Docker Registry提供安全、轻量的认证与授权解决方案。通过数字签名确保镜像完整性，同时保持极小的体积和资源占用，适用于需要保护Docker镜像仓库访问安全的各类场景。

核心功能与特性

• 安全可靠：镜像经过数字签名验证，支持TLS加密通信，保障认证过程的安全性
• 轻量级设计：基于Alpine Linux，镜像体积小，启动速度快，资源占用低
• 多认证后端：支持LDAP、JWT、文件存储、OAuth等多种认证方式，适应不同企业环境
• 细粒度授权：可基于用户、团队、镜像名称、操作类型（pull/push）等定义灵活的访问控制策略
• 易于集成：与标准Docker Registry无缝对接，配置简单，支持动态加载配置

使用场景与适用范围

• 企业私有Docker Registry的访问权限管理
• 多团队共享镜像仓库时的权限隔离
• 开发/测试/生产环境的镜像访问控制
• 需要审计镜像访问记录的合规场景
• 对资源占用敏感的边缘计算环境

使用方法与配置说明

基本启动命令

通过docker run启动容器，需挂载配置文件和TLS证书：

bash
docker run -d \
  --name docker_auth \
  -p 5001:5001 \
  -v /path/to/config.yml:/etc/docker_auth/config.yml \
  -v /path/to/tls:/etc/docker_auth/tls \
  cesanta/docker_auth

docker-compose配置示例

yaml
version: '3.8'
services:
  docker_auth:
    image: cesanta/docker_auth
    container_name: docker_auth
    ports:
      - "5001:5001"
    volumes:
      - ./config.yml:/etc/docker_auth/config.yml:ro
      - ./tls:/etc/docker_auth/tls:ro
    restart: unless-stopped
    environment:
      - LOG_LEVEL=info

配置文件详解

核心配置文件config.yml包含服务器设置、认证后端和授权规则，示例如下：

yaml
# 服务器配置
server:
  addr: ":5001"                   # 监听地址和端口
  tls_cert: "/etc/docker_auth/tls/cert.pem"  # TLS证书路径
  tls_key: "/etc/docker_auth/tls/key.pem"    # TLS私钥路径
  read_timeout: 10s
  write_timeout: 10s

# 认证后端配置（示例：LDAP）
auth:
  ldap:
    server: "ldap://ldap.example.com:389"
    bind_dn: "cn=admin,dc=example,dc=com"
    bind_password: "ldap_admin_password"
    user_base: "ou=users,dc=example,dc=com"
    user_filter: "(uid=%s)"       # %s会替换为登录用户名
    group_base: "ou=groups,dc=example,dc=com"
    group_filter: "(memberUid=%s)"

# 授权规则配置
acl:
  # 允许admin用户执行所有操作
  - match: {user: "admin"}
    actions: ["*"]
    resources: ["*"]
  
  # 允许developers组拉取指定镜像
  - match: {group: "developers"}
    actions: ["pull"]
    resources: ["library/*", "internal/*"]
  
  # 拒绝未授权用户访问
  - match: {user: "*"}
    actions: ["*"]
    resources: ["*"]
    effect: "deny"

环境变量说明

支持的认证后端

docker_auth支持多种认证后端，可根据需求选择：

• 文件认证：基于JSON文件存储用户凭证（适用于小型环境）
• LDAP/Active Directory：集成企业级目录服务
• JWT：通过JSON Web Token实现无状态认证
• OAuth2：支持GitHub、GitLab等第三方OAuth2提供商
• HTTP：通过外部HTTP API验证用户凭证

注意事项

• 生产环境中必须使用有效TLS证书，避免使用自签名证书
• 配置文件应设置只读权限，防止敏感信息泄露
• 定期更新镜像以获取安全补丁和功能更新
• 建议配合监控工具（如Prometheus）监控认证服务状态