注意：这是satosa镜像的arm64v8架构构建的“每架构”仓库——更多信息，请参见镜像文档中的“除amd64之外的架构？”和***镜像FAQ中的“Git中的镜像源已更改，现在该怎么办？”。

快速参考

• 维护者：
  Identity Python项目

• 获取帮助的地方：
  Identity Python邮件列表 或 Identity Python Slack工作区（邀请链接）

支持的标签及对应的Dockerfile链接

（参见FAQ中的“‘共享’标签和‘简单’标签有什么区别？”）

简单标签

• 8.5.1-bookworm, 8.5-bookworm, 8-bookworm, bookworm

• 8.5.1-alpine3.22, 8.5-alpine3.22, 8-alpine3.22, alpine3.22, 8.5.1-alpine, 8.5-alpine, 8-alpine, alpine

快速参考（续）

• 提交问题的地方：
  [***]

• 支持的架构：（更多信息）
  amd64、arm64v8

• 已发布镜像工件详情：
  repo-info仓库的repos/satosa/目录（历史记录）
  （镜像元数据、传输大小等）

• 镜像更新：
  official-images仓库的library/satosa标签
  official-images仓库的library/satosa文件（历史记录）

• 本描述的来源：
  docs仓库的satosa/目录（历史记录）

什么是SATOSA？

SATOSA是一个可配置的代理，用于在SAML2、OpenID Connect和OAuth2等不同身份验证协议之间进行转换。

!logo

使用本镜像

启动satosa实例的基本模式如下：

sh
docker run --name some-satosa -d arm64v8/satosa

要从主机访问实例而不使用容器IP，请使用端口映射：

sh
docker run --name some-satosa -p 80:8080 -d arm64v8/satosa

入口脚本在启动时会将SAML2元数据输出到容器日志中。此元数据引用实例的基础URL，例如[***]。浏览器必须能够通过HTTPS访问该实例。

配置文件

satosa镜像将其配置存储在/etc/satosa中。此配置必须在实例之间持久化，特别是SAML2实体ID（默认从代理的基础URL派生）和相关密钥材料。使用卷、绑定挂载或自定义镜像来维护此配置。

入口脚本

如果第一个参数看起来像命令行标志，satosa镜像的入口脚本默认运行Gunicorn。例如，以下命令将使用绑定挂载向实例提供X.509证书和相应的私钥，并运行启用HTTPS的Gunicorn：

sh
docker run --name some-satosa -p 443:8443 \
    -v /etc/letsencrypt/live/some-satosa/fullchain.pem:/etc/https.crt \
    -v /etc/letsencrypt/live/some-satosa/privkey.pem:/etc/https.key \
    -d arm64v8/satosa \
    -b0.0.0.0:8443 --certfile /etc/https.crt --keyfile /etc/https.key satosa.wsgi:app

如果第一个参数看起来像命令而不是标志，入口脚本将运行该命令而不是Gunicorn。例如，以下命令将在容器内启动一个交互式的非特权shell：

sh
docker run -it --name some-satosa arm64v8/satosa bash

环境变量

入口脚本使用环境变量生成初始配置，这需要自定义。所有环境变量均为可选。

环境变量的值可以从Docker secrets读取。在变量名后附加_FILE（例如STATE_ENCRYPTION_KEY_FILE），并将其设置为相应密钥的路径名（例如/run/secrets/state_encryption_key）。

BASE_URL

SATOSA必须托管在网站的根目录下。此环境变量指定网站的基础URL，默认为[***]。如果设置，基础URL必须是包含方法和主机名的URL，不带任何尾随斜杠或路径组件，例如[***]，而不是[***]或[***]。

STATE_ENCRYPTION_KEY

SATOSA使用加密的Cookie跟踪身份验证流程的进度。此环境变量可选地设置状态Cookie的加密密钥。如果设置，状态加密密钥必须是字母数字值，例如***SameAsMyLuggage。如果未指定，将生成一个新的32字符随机密钥。

SAML2_BACKEND_DISCO_SRV

当作为SAML信任联合的一部分时，SATOSA将要求用户使用SAML发现服务选择身份提供商。此环境变量设置发现服务URL，默认为SeamlessAccess。

SAML2_BACKEND_CERT 和 SAML2_BACKEND_KEY

SATOSA的默认SAML后端微服务充当服务提供商（依赖方），请求用户选择的身份提供商进行身份验证并提供属性。该微服务使用公钥加密对身份验证请求进行签名并解密响应。这些环境变量提供PEM格式的必要密钥材料。如果未指定，将使用BASE_URL的主机名部分生成新的2048位RSA密钥对。

SAML2_FRONTEND_CERT 和 SAML2_FRONTEND_KEY

SATOSA的默认SAML前端微服务充当身份提供商（凭证服务提供商），处理来自受信任网站的身份验证请求并返回用户属性。它使用公钥加密对身份验证响应进行签名。这些环境变量提供必要的密钥材料，同样为PEM格式。如果未指定，将使用BASE_URL的主机名部分生成新的2048位RSA密钥对。

镜像变体

arm64v8/satosa镜像有多种版本，每种版本设计用于特定用例。

arm64v8/satosa:<version>

这是默认镜像。如果不确定自己的需求，可能需要使用此版本。它设计为既可作为临时容器使用（挂载源代码并启动容器以启动应用），也可作为构建其他镜像的基础。

某些标签可能包含bookworm等名称。这些是Debian发行版的代号，表示镜像基于哪个发行版。如果您的镜像需要安装除镜像自带软件之外的其他包，可能需要显式指定这些代号，以最大程度减少Debian新版本发布时的中断。

arm64v8/satosa:<version>-alpine

此镜像基于流行的Alpine Linux项目，可在alpine***镜像中获取。Alpine Linux比大多数发行版基础镜像小得多（约5MB），因此通常会生成更精简的镜像。

当最终镜像大小尽可能小是首要考虑因素时，此变体非常有用。需要注意的主要问题是它使用musl libc而不是glibc及相关库，因此软件可能会根据其libc要求/假设的深度而遇到问题。有关可能出现的问题以及使用基于Alpine的镜像的优缺点比较，请参见此Hacker News评论线程。

为了最小化镜像大小，基于Alpine的镜像中通常不包含其他相关工具（如git或bash）。以此镜像为基础，可在自己的Dockerfile中添加所需工具（如果不熟悉如何安装包，请参见alpine镜像描述中的示例）。

许可

查看此镜像中包含的软件的许可信息。

与所有Docker镜像一样，这些镜像可能还包含其他软件，这些软件可能采用其他许可（例如基础发行版中的Bash等，以及包含的主要软件的任何直接或间接依赖项）。

一些能够自动检测到的其他许可信息可能位于repo-info仓库的satosa/目录中。

对于任何预构建镜像的使用，镜像用户有责任确保对本镜像的任何使用都符合其中包含的所有软件的相关许可。