ravendb/sso

RavenDB SSO

镜像概述

RavenDB SSO是针对RavenDB集群的反向代理SSO网关，部署在一个或多个RavenDB集群前方，通过Windows/Kerberos SSO或OAuth2（GitHub、Google、Microsoft Entra ID）对用户进行认证，并使用每个用户的短期客户端证书通过mTLS将请求转发到正确的集群节点，用户无需自行管理RavenDB客户端证书。

请求流程：

浏览器 → nginx (443) → 认证（Kerberos/OAuth2） → RavenDB集群（mTLS，用户专属证书）

每个配置的集群可通过<节点标签>-<集群别名>.<sso域名>访问，例如a-prod.sso.example.com。该镜像基于main分支构建，尝鲜版可查看https://hub.docker.com/r/ravendb/sso-nightly（基于`dev`分支）。

核心功能

• 支持多种认证方式：Windows/Kerberos SSO、GitHub/OAuth2、Google OAuth2、Microsoft Entra ID OAuth2
• 反向代理：为RavenDB集群提供统一访问入口
• mTLS安全转发：使用短期用户专属证书与集群节点通信
• 多架构支持：覆盖linux/amd64、linux/arm64、linux/arm/v7
• 灵活配置：通过环境变量或文件（settings.json）进行配置

使用场景

• RavenDB集群的统一身份认证管理
• 企业内部RavenDB集群的安全访问控制
• 多RavenDB集群的集中代理与认证
• 无需用户手动配置客户端证书的RavenDB访问场景

标签说明

多架构标签自动适配对应架构，单架构标签（如X.Y.Z-amd64）为构建产物，不建议直接拉取。

快速启动

Docker Run示例

bash
docker run -d --name ravendb-sso \
  -p 443:443 -p 80:80 \
  -e RAVENDBSSO_Url=https://sso.example.com \
  -e RAVENDBSSO_CertificatePath=/app/certs/fullchain.pem \
  -e RAVENDBSSO_CertificateKeyPath=/app/certs/privkey.pem \
  -e RAVENDBSSO_Clusters='[{"ClusterUrls":["https://a.my-cluster.example.com"],"ClusterAlias":"my-cluster"}]' \
  -e OAUTH2_PROXY_COOKIE_SECRET=$(openssl docker.xuanyuan.run/rand -hex 16) \
  -e GITHUB_CLIENT_ID=... \
  -e GITHUB_CLIENT_SECRET=... \
  -v $(pwd)/certs:/app/certs \
  -v $(pwd)/users-certs:/app/users-certs \
  -v $(pwd)/logs:/app/logs \
  ravendb/sso:latest

Docker Compose示例（生产级）

含Let's Encrypt自动化的配置：

yaml
services:
  sso:
    image: docker.xuanyuan.run/ravendb/sso:latest
    container_name: ravendb-sso
    restart: always
    user: "10000:10000"
    cap_add: [ NET_BIND_SERVICE ]
    env_file: [ sso.env ]
    ports: [ "80:80", "443:443" ]
    volumes:
      - ./config:/app/config
      - ./certs:/app/certs
      - ./logs:/app/logs

配置说明

设置通过环境变量（前缀RAVENDBSSO_）或/app/config/settings.json读取，环境变量优先级更高。