3keycompany/czertainly-core Docker 镜像 - 轩辕镜像

CZERTAINLY Core

此仓库是开源项目CZERTAINLY的一部分。您可以在CZERTAINLY仓库中找到有关该项目的更多信息，包括贡献指南。

Core为CZERTAINLY平台提供基础功能，实现证书生命周期管理逻辑并处理所有相关任务，可视为CZERTAINLY平台的"大脑"。

Core负责两种类型的通信：

• 客户端请求证书及相关对象的管理操作
• Connector（连接器）提供特定技术的功能

证书和加密密钥的管理通过CZERTAINLY的Profiles（配置文件）对象抽象实现，包括：

• RA Profile - 证书生命周期管理服务的配置
• Token Profile - 加密服务配置和密钥管理
• Compliance Profile - 证书及相关对象的合规要求

更多信息请参考CZERTAINLY文档。

访问控制

Core的访问控制运行需满足以下要求：

• CZERTAINLY-Auth服务：用于管理用户、角色和权限。可通过AUTH_SERVICE_BASE_URL环境变量配置Auth服务的URL。
• OPA（Open Policy Agent）：评估策略并提供授权决策。可通过OPA_BASE_URL环境变量配置OPA服务的URL。
• OPA策略束：加载到OPA服务中并定义评估规则的策略，策略定义在CZERTAINLY-Auth-OPA-Policies中。

警告
当缺少Auth或OPA服务时，Core将无法运行。

注意
OPA可与Core运行在同一系统或外部托管。为提高权限评估性能，通常将OPA与Core部署在同一主机（如作为边车容器）。

证书库存

证书库存包含平台中已发现或导入的所有Certificates（证书）。每个证书提供可管理的全面且一致的信息。

生命周期操作

每个证书支持以下基本生命周期操作：

• 创建（请求）
• 签发
• 续订
• 重新生成密钥
• 吊销

这些操作可由Core自动执行，也可由用户手动执行。

加密密钥库存

密钥库存包含所有可用的Keys（密钥）。每个密钥通过Token Profile提供可管理的全面且一致的信息。

后量子密码学（PQC）算法的实验性支持

Core支持以下PQC算法：FALCON、CRYSTALS-Dilithium、SPHINCS+。此支持为实验性，不建议用于生产环境，因为PQC算法仍在开发中且未完全标准化。

协议支持

Core支持以下证书管理协议：

• ACME
• SCEP（可选支持Intune）
• CMP

Docker容器

Core以Docker容器形式提供。使用czertainly/czertainly-core:tagname从仓库拉取所需镜像。可通过以下环境变量进行配置：

OpenTelemetry设置

Core支持OpenTelemetry以生成信号（指标、追踪、日志）到可观测性系统。可通过以下环境变量配置OpenTelemetry：

代理设置

如需Core与外部系统通信，可能需要配置代理。通过以下Docker容器环境变量启用代理：

示例值：

• HTTP_PROXY=[***]
• HTTPS_PROXY=[***]
• NO_PROXY=localhost,127.0.0.1,0.0.0.0,10.0.0.0/8,cattle-system.svc,.svc,.cluster.local,my-domain.local