Tines Ruby 基础镜像（含 OpenSSL FIPS）

1. 镜像概述和主要用途

1.1 概述

本镜像为 Tines 提供的 Ruby 基础 Docker 镜像，集成了 OpenSSL FIPS 加密模块，旨在提供一个既满足 Ruby 运行环境需求，又符合 FIPS 140-2 加密标准的基础架构。

核心版本信息：

• Ruby：3.1.3
• OpenSSL：1.0.2t
• OpenSSL FIPS 模块：2.0.16

1.2 主要用途

作为基础镜像，用于构建和部署需要 Ruby 3.1.3 运行环境，且对数据加密合规性（如 FIPS 140-2 标准）有严格要求的应用程序。可直接作为开发、测试或生产环境的底层依赖。

2. 核心功能和特性

2.1 版本锁定

• 内置 Ruby 3.1.3 稳定版本，确保应用依赖环境一致性。
• 集成 OpenSSL 1.0.2t 及 FIPS 2.0.16 模块，提供合规加密能力。

2.2 FIPS 合规性

• 集成 OpenSSL FIPS 2.0.16 模块，符合 FIPS 140-2 标准，支持经过验证的加密算法（如 AES、SHA-256 等），适用于对数据安全有强制合规要求的场景。

2.3 基础架构优化

• 基于精简 Linux 发行版构建（具体依赖基础镜像未明确，默认假设为生产级精简环境），减少冗余组件，降低***面，适合生产环境部署。

2.4 兼容性

• 兼容依赖 Ruby 3.1.3 语法及标准库的应用程序，支持通过 Bundler 管理 RubyGems 依赖。

3. 使用场景和适用范围

3.1 行业场景

• 服务：需符合 PCI DSS 等的支付系统、交易平台。
• ***健康：处理电子健康记录（EHR）等敏感数据的应用。
• ***/公共部门：需满足联邦信息处理标准（FIPS）的政务系统。

3.2 应用类型

• 企业内部高安全级 Ruby 应用（如内部管理系统、数据处理服务）。
• 需要 Ruby 3.1.3 环境且依赖合规加密功能的微服务。
• 开发环境与生产环境一致性要求高的 CI/CD 流程。

4. 使用方法和配置说明

4.1 前提条件

• 已安装 Docker 引擎（推荐版本 20.10+）。
• （如需拉取私有镜像）已配置镜像仓库访问权限（如 Docker Hub 认证或私有仓库凭证）。

4.2 获取镜像

假设镜像托管于 Tines 仓库，拉取命令（实际镜像名称以为准，此处为示例）：

docker pull tines/ruby-fips:3.1.3  # 镜像标签格式：<仓库>/<名称>:<版本>-fips（示例）

4.3 运行容器

4.3.1 基础验证

验证 Ruby 版本及 OpenSSL FIPS 状态：

# 验证 Ruby 版本
docker run --rm tines/ruby-fips:3.1.3 ruby -v  
# 输出示例：ruby 3.1.3p185 (2022-11-24 revision 1a6b***e) [x86_64-linux]

# 验证 OpenSSL FIPS 启用状态
docker run --rm tines/ruby-fips:3.1.3 openssl version -fips  
# 输出示例：OpenSSL 1.0.2t  10 Sep 2019 (FIPS 2.0.16)

4.3.2 运行 Ruby 脚本

挂载本地目录并执行脚本：

# 假设本地脚本路径为 ./app/script.rb
docker run --rm -v $(pwd)/app:/app -w /app tines/ruby-fips:3.1.3 ruby script.rb

4.4 作为基础镜像构建应用

在 Dockerfile 中引用本镜像构建自定义应用：

# 基础镜像
FROM tines/ruby-fips:3.1.3

# 设置工作目录
WORKDIR /app

# 复制依赖文件并安装（如使用 Bundler）
COPY Gemfile Gemfile.lock ./
RUN bundle install --without development test  # 仅安装生产依赖

# 复制应用代码
COPY . .

# 暴露端口（如应用需对外提供服务）
EXPOSE 3000

# 启动命令
CMD ["ruby", "server.rb"]

4.5 Docker Compose 配置示例

适用于多服务部署场景：

version: '3.8'
services:
  ruby-app:
    build: .  # 基于上述 Dockerfile 构建
    image: tines/ruby-fips:3.1.3
    volumes:
      - ./app:/app:ro  # 只读挂载应用代码
    environment:
      - RUBY_ENV=production  # 设置运行环境
      - DATABASE_URL=postgres://user:pass@db:5432/appdb  # 示例数据库连接
    ports:
      - "3000:3000"
    depends_on:
      - db
  db:
    image: postgres:14
    environment:
      - POSTGRES_USER=user
      - POSTGRES_PASSWORD=pass
      - POSTGRES_DB=appdb

4.6 配置参数说明

当前镜像无额外自定义配置参数，主要通过应用层配置（如 Ruby 环境变量、配置文件）调整行为。常用环境变量示例：

• RUBY_ENV：指定运行环境（如 production、development），影响日志级别、依赖加载等。
• BUNDLE_PATH：自定义 Bundler 依赖安装路径（默认 /usr/local/bundle）。
• SSL_CERT_FILE：覆盖默认 SSL 证书路径（如需自定义 CA 证书，需确保仍符合 FIPS 合规要求）。

4.7 注意事项

• FIPS 合规性维护：修改 OpenSSL 配置或升级依赖时，需重新验证 FIPS 模块状态，避免合规性失效。
• 镜像更新：定期同步***镜像更新，以获取安全补丁（如 Ruby 或 OpenSSL 的 CVE 修复）。
• 生产环境优化：建议结合多阶段构建减小最终镜像体积，如：

  # 构建阶段
  FROM tines/ruby-fips:3.1.3 AS builder
  WORKDIR /app
  COPY . .
  RUN bundle install
  
  # 运行阶段（仅保留运行时依赖）
  FROM tines/ruby-fips:3.1.3
  WORKDIR /app
  COPY --from=builder /usr/local/bundle /usr/local/bundle
  COPY --from=builder /app .
  CMD ["ruby", "app.rb"]