hipaa-postgres

![]([] ![Docker]([] ![Docker]([] ![Docker]([]

一个符合HIPAA和GDPR标准的Postgres数据库镜像，集成PostGIS和PGAudit。设计用于parse-hipaa，但可在任何使用Postgres的场景中通用。该Docker镜像包含HIPAA合规所需的数据库审计和日志功能。hipaa-postgres基于postgis构建，而postgis则是在***Postgres镜像基础上扩展的镜像。

hipaa-postgres提供以下功能：

• 审计与日志记录
• 支持传输加密准备 - 可在代理后运行，并提供使用Nginx和LetsEncrypt完成完整流程的文件和说明

要实现完全HIPAA合规，您仍需自行完成以下配置：

• 传输加密 - 需完成相关流程
• 静态加密 - 挂载到您自己的加密存储驱动器（Linux和macOS提供相关API），并将驱动器存放在"安全"位置
• 确保完成HIPAA要求的其他所有事项

CareKitSample-ParseCareKit应用将此镜像与parse-hipaa和ParseCareKit配合使用。如需要Mongo变体，可查看hipaa-mongo。

使用风险自负。不保证此镜像完全符合HIPAA标准，我们不对任何数据处理不当负责。

镜像

为方便使用，自动构建了多个镜像。可在以下位置获取：

• Docker - 托管于Docker Hub
• Singularity - 托管于GitHub Container Registry

标签

• latest - 指向基于标准Postgres镜像的最新发布版本
• main - 指向基于标准Postgres镜像的最新代码，将在未来版本中发布，可能包含破坏性变更
• x-x.x - 指向特定Postgres和PostGIS版本，基于标准Postgres镜像
• x-x.x-pgpool - 指向特定Postgres和PostGIS版本，基于标准Postgres镜像，包含pgpool，支持高可用配置
• x-x.x-percona - 指向基于Percona Distribution for PostgreSQL镜像的特定版本

hipaa-postgres中自动启用的额外包

以下包在PG_PARSE_DB或postgres数据库中自动启用：

• PostGIS - PostgreSQL对象关系数据库的空间数据库扩展
• pgAudit - 提供生成审计日志所需工具，满足***、***或ISO认证审计要求
• pgAudit-set_user - 允许切换用户和可选的权限提升，同时提供增强的日志和控制
• pgBadger - 高性能日志分析器，生成详细报告和专业呈现
• pgBackrest - 可靠易用的备份恢复解决方案，通过优化的算法支持大型数据库和工作负载
• pg_repack - 以最小锁开销重组PostgreSQL数据库表
• wal2json - 逻辑解码输出插件
• pgStatStatements - 跟踪服务器执行的所有SQL语句的规划和执行统计信息（PMM所需）
• Percona Monitoring and Management (PMM) - 监控数据库基础设施健康状况，分析数据库行为模式，管理和优化数据库性能

pgpool标签镜像

带有-pgpool标签的镜像包含额外包，便于配置hipaa-postgres与pgpool配合使用。额外包如下：

• pgpool - 管理PostgreSQL服务器池，提供高可用、负载均衡、连接池、在线恢复、连接限制、Watchdog、内存查询缓存等功能
• iputils-ping - Linux网络工具
• openssh-server - 通过SSH协议进行远程登录的连接工具
• supervisor - 允许用户监控和控制类UNIX系统上多个进程的客户端/服务器系统

环境变量

POSTGRES_PASSWORD # Postgres数据库集群密码（实际部署中务必修改）
PG_PARSE_USER # 登录PG_PARSE_DB的用户名（实际部署中务必修改）
PG_PARSE_PASSWORD # 登录PG_PARSE_DB的密码（实际部署中务必修改）
PG_PARSE_DB # parse-hipaa数据库名称
PMM_USER=pmm # Percona监控管理用户名（实际部署中务必修改）
PMM_PASSWORD=pmm # Percona监控管理密码（实际部署中务必修改）
PMM_PORT=80 # Docker镜像上的默认端口
PMM_TLS_PORT=443 # Docker镜像上的默认TLS端口

启动hipaa-postgres

开始使用时，docker-compose.yml提供了使用示例，只需执行：

docker-compose up

重要说明：首次运行hipaa-postgres时需要时间进行配置，配置完成前不允许连接。这是因为需要时间配置必要的脚本/扩展以及默认数据库。配置完成后，hipaa-postgres将允许连接，日志中会显示类似以下消息：

db_1 | PostgreSQL init process complete; ready for start up.

之后，hipaa-postgres将允许所有连接。

配置

如计划在生产环境中使用hipaa-postgres，应运行额外脚本来创建优化查询所需的其余索引。

容器中已包含setup-parse-index.sh文件，只需运行该脚本：

1. 登录Docker容器，执行：docker exec -u postgres -ti parse-hipaa_db_1 bash
2. 运行脚本，执行：./parseScripts/setup-parse-index.sh

如需持久化数据库数据，可取消docker-compose.yml中的卷挂载行注释。确保将目录更改为Docker可访问的安全位置。

环境变量的默认值在docker-compose.yml中提供，用于快速本地部署。如计划在生产环境部署，务必修改所有环境变量。注意，Postgres镜像提供默认postgres用户用于配置数据库集群，可通过修改POSTGRES_PASSWORD更改postgres用户密码（首次初始化前）。有许多Postgres环境变量可修改，除非您熟悉Postgres配置，否则不应更改这些变量，否则可能导致镜像无法正常工作。注意，上述参数的更改仅在首次构建和运行镜像前修改才会生效。之后，需通过以下命令连接到镜像进行所有更改：

docker exec -u postgres -ti parse-hipaa_db_1 bash

然后可使用psql进行修改。通过psql，还可添加多个数据库和用户，以支持多个parse应用。

使用Percona监控管理监控数据库

hipaa-postgres已自动配置为允许访问PMM。如使用docker-compose.yml文件，可通过访问http://localhost:1080/进行访问。其他信息如下：

• 用户名/密码 - admin/admin，首次登录时PMM会提示修改
• 向PMM添加数据库
  1. 进入设置->Add Instance to PMM->PostgreSQL
  2. 主机名输入db
  3. 用户名输入环境变量中配置的PMM_USER
  4. 密码输入环境变量中配置的PMM_PASSWORD
  5. 点击Add service...数据开始填充可能需要长达5分钟。执行上述步骤后，PMM会立即提示连接问题。在仪表板的PostgreSQL部分可查看PMM是否能正确连接并读取数据库version
  6. 查看文档了解更多PMM信息

部署到实际系统

此处的docker配置文件旨在运行在已正确配置SSL以加密传输数据的代理之后。要为parse-hipaa创建代理，可使用此处提供的Nginx文件。只需将sites-available文件夹添加到Nginx目录，并在nginx.conf的"http"部分添加以下内容：

http {
    include /usr/local/etc/nginx/sites-enabled/*.conf; #添加此行到末尾（适用于macOS，其他系统按需调整）
}

使用LetsEncrypt设置免费证书，按照此处的说明操作。确保在default-ssl.conf中更改证书和密钥行，指向正确位置。