Sumo Logic Kubernetes Collection 使用的非特权 NGINX 镜像

1. 镜像概述

本镜像复制自 nginxinc/nginx-unprivileged 镜像，专门用于 Sumo Logic Kubernetes Collection 组件，作为其数据采集流程中的辅助服务。镜像保持了原非特权 NGINX 的核心特性，通过非 root 用户运行 NGINX 进程，以满足 Kubernetes 环境下的安全合规要求，同时为 Sumo Logic 采集器提供轻量级的 HTTP 服务能力（如反向代理、静态资源托管、请求转发等）。

2. 核心功能和特性

2.1 核心功能

• 提供标准 NGINX 服务能力，包括 HTTP/HTTPS 代理、静态文件服务、负载均衡等。
• 作为 Sumo Logic Kubernetes Collection 的配套组件，辅助实现采集器与集群内其他服务的通信（如日志聚合、指标转发）。

2.2 关键特性

• 非特权运行：默认使用非 root 用户（通常 UID/GID 为 101）运行 NGINX 进程，降低容器逃逸风险，符合 Kubernetes 安全最佳实践。
• 轻量级：基于官方 NGINX 镜像优化，体积小，启动速度快。
• Kubernetes 兼容：支持以非 root 用户权限在 Kubernetes Pod 中运行，适配 PodSecurityPolicy 或 Pod 安全上下文（Security Context）的权限限制。
• 配置灵活性：支持通过环境变量、配置文件挂载等方式自定义 NGINX 行为，适配 Sumo Logic 采集场景的个性化需求。

3. 使用场景和适用范围

本镜像主要适用于 Kubernetes 集群环境中，作为 Sumo Logic Kubernetes Collection 的辅助组件，典型使用场景包括：

• 反向代理：转发 Sumo Logic 采集器的 API 请求至集群内其他服务（如 Prometheus、Kubernetes API Server）。
• 静态配置服务：托管 Sumo Logic 采集器的静态配置文件（如日志解析规则、采集规则），供采集器动态加载。
• 日志聚合入口：作为集群内部分日志流的统一入口，集中转发至 Sumo Logic 采集器。
• 健康检查端点：提供 HTTP 健康检查接口，辅助 Kubernetes 对 Sumo Logic 采集组件进行状态监控。

4. 使用方法和配置说明

4.1 基本运行（Docker）

通过 docker run 命令可直接启动镜像，基本示例如下：

docker run -d \
  --name sumologic-nginx-unprivileged \
  -p 8080:8080 \  # 非特权镜像默认使用 8080 端口（替代 root 镜像的 80 端口）
  -v $(pwd)/nginx.conf:/etc/nginx/nginx.conf:ro \  # 挂载自定义 NGINX 配置文件
  sumologic/nginx-unprivileged  # 假设镜像名称为 sumologic/nginx-unprivileged（具体以实际为准）

4.2 Kubernetes 部署示例

在 Kubernetes 环境中，通常作为 Sumo Logic 采集器 Pod 的 sidecar 容器运行，示例 Deployment 片段如下：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: sumologic-collector
  namespace: sumologic
spec:
  template:
    spec:
      containers:
        - name: nginx-unprivileged
          image: sumologic/nginx-unprivileged  # 本镜像
          ports:
            - containerPort: 8080  # 非特权端口
          volumeMounts:
            - name: nginx-config
              mountPath: /etc/nginx/nginx.conf
              subPath: nginx.conf
            - name: nginx-logs
              mountPath: /var/log/nginx  # 日志挂载至持久化存储或日志采集路径
          securityContext:
            runAsUser: 101  # 匹配镜像默认非特权用户 UID
            runAsGroup: 101
            allowPrivilegeEscalation: false
      volumes:
        - name: nginx-config
          configMap:
            name: sumologic-nginx-config  # 包含 NGINX 配置的 ConfigMap
        - name: nginx-logs
          emptyDir: {}  # 或使用持久卷

4.3 环境变量说明

本镜像支持通过环境变量调整 NGINX 运行参数（基于 nginxinc/nginx-unprivileged 特性）：

4.4 配置文件自定义

NGINX 配置可通过挂载自定义 nginx.conf 或配置片段实现。例如，为 Sumo Logic 采集器配置反向代理规则：

# 自定义 nginx.conf 示例（用于转发采集器 API 请求）
worker_processes auto;

events {
    worker_connections 1024;
}

http {
    server {
        listen 8080;  # 匹配环境变量 NGINX_HTTP_PORT
        server_name sumologic-collector-proxy;

        location /metrics {
            proxy_pass [***]  # 转发至采集器 metrics 端点
            proxy_set_header Host $host;
            proxy_set_header X-Real-IP $remote_addr;
        }
    }
}

挂载该配置文件至容器：

docker run -d \
  -v $(pwd)/custom-nginx.conf:/etc/nginx/nginx.conf:ro \
  sumologic/nginx-unprivileged

5. 注意事项

• 权限限制：由于镜像以非特权用户运行，容器内文件系统访问权限需匹配 UID/GID 101（默认），挂载宿主机目录时需确保该用户有读/写权限。
• 端口范围：仅可使用非特权端口（>1024），避免绑定 80、443 等特权端口。
• 日志采集：建议将 NGINX 日志挂载至 Sumo Logic 采集器可访问的路径，以便统一收集日志数据。
• 兼容性：镜像版本需与 Sumo Logic Kubernetes Collection 版本匹配，具体参考 Sumo Logic 官方文档。

6. 参考链接

• 原镜像文档：nginxinc/nginx-unprivileged
• Sumo Logic Kubernetes Collection：GitHub 仓库