OpenRMF-api-scoring 镜像文档

1. 镜像概述和主要用途

OpenRMF-api-scoring 是 OpenRMF 工具链的评分 API 组件，用于对安全检查清单（Checklist）进行评分。该组件通过读取评分数据库（由 openrmf-msg-score 项目异步更新），提供基于 STIG（安全技术实施指南）检查清单的漏洞类别与状态评分功能。评分数据库通过处理新的或更新的 XML 检查清单文件生成，并基于 MongoDB 存储。

2. 核心功能和特性

• 评分查询与动态评分：支持通过内部 ID、GUID、系统 ID 查询评分，或直接提交 XML 字符串获取动态评分。
• MongoDB 数据存储：基于 MongoDB 存储评分数据，支持多维度索引（如 artifactId、systemGroupId 等）以优化查询性能。
• NATS 消息集成：通过 NATS 消息平台实现最终一致性，评分数据由消息监听服务异步填充至数据库。
• API 文档支持：提供 Swagger 接口文档（/swagger/ 端点），便于 API 结构查阅与调试。

3. 使用场景和适用范围

适用于 OpenRMF 工具环境中对 STIG 检查清单的评分管理，具体场景包括：

• 单检查清单评分查询（通过 ID 或 GUID）；
• 系统级汇总评分（跨多个检查清单）；
• 动态 XML 检查清单评分（直接提交 XML 内容）；
• 安全合规检查中的评分数据持久化与查询。

4. 使用方法和配置说明

4.1 本地 Docker 镜像构建

通过以下命令构建本地镜像：

bash
docker build --rm -t openrmf-api-scoring:0.13 .

4.2 数据库配置（MongoDB）

该组件依赖 MongoDB 存储评分数据，需完成以下配置：

4.2.1 用户与权限设置

1. 连接 MongoDB 管理员账户：

   bash
   ~/mongodb/bin/mongo 'mongodb://root:myp2ssw0rd@localhost'
   

2. 切换至 admin 数据库并创建专用用户：

   javascript
   use admin
   db.createUser({
     user: "openrmfscore",
     pwd: "openrmf1234!",
     roles: ["readWriteAnyDatabase"]
   });
   

4.2.2 集合与索引创建

1. 切换至评分数据库并创建集合：

   javascript
   use openrmfscore
   db.createCollection("Scores");
   

2. 创建索引以优化查询性能：

   javascript
   db.Scores.createIndex({ artifactId: 1 })       // 按检查清单 GUID 索引
   db.Scores.createIndex({ systemGroupId: 1 })   // 按系统组 ID 索引
   db.Scores.createIndex({ hostName: 1 })        // 按主机名索引
   db.Scores.createIndex({ stigType: 1 })        // 按 STIG 类型索引
   

4.2.3 数据库连接方式

使用专用用户连接评分数据库：

bash
~/mongodb/bin/mongo 'mongodb://openrmfscore:openrmf1234!@localhost/openrmfscore?authSource=admin'

4.3 消息平台配置（NATS）

组件通过 NATS 消息平台实现与其他服务的异步通信，确保数据最终一致性。

4.3.1 NATS 服务器运行

使用 Docker 启动 NATS 服务器（默认配置）：

bash
docker run --rm --name nats-main -p 4222:4222 -p 6222:6222 -p 8222:8222 nats

• 端口说明：4222（客户端连接）、6222（集群路由）、8222（监控界面）。
• 版本说明：默认使用 NATS 1.2.0（截至 2018 年 8 月），仅支持内存存储（无流处理）。

4.3.2 消息主题说明

当前组件发布消息至以下 NATS 主题（用于审计、日志等扩展场景）：

• openstig.save.new：新检查清单保存事件（ payload 为新 GUID）
• openstig.save.update：检查清单更新事件（ payload 为新 GUID）
• openstig.upload.new：新检查清单上传事件（ payload 为新 GUID）
• openstig.upload.update：检查清单上传更新事件（ payload 为新 GUID）

4.4 Docker 部署示例

4.4.1 docker run 命令

启动容器时需指定 MongoDB 连接字符串与 NATS 服务器地址：

bash
docker run -d \
  --name openrmf-api-scoring \
  -p 8080:80 \
  -e MONGO_URI="mongodb://openrmfscore:openrmf1234!@mongodb-host/openrmfscore?authSource=admin" \
  -e NATS_URL="nats://nats-host:4222" \
  openrmf-api-scoring:0.13

• 参数说明：
  • -p 8080:80：映射容器内 80 端口至主机 8080 端口；
  • MONGO_URI：MongoDB 连接字符串（需替换 mongodb-host 为实际数据库地址）；
  • NATS_URL：NATS 服务器地址（需替换 nats-host 为实际 NATS 地址）。

5. API 端点说明