OpenSSL Alpine 镜像

镜像概述

OpenSSL Alpine 镜像是基于 Alpine Linux 构建的轻量级 OpenSSL 工具容器，由 securefab 项目维护（项目地址：[***] OpenSSL 安全补丁与 Alpine 系统更新，提供精简、安全且功能完整的加密工具环境。

主要用途

提供轻量级、高安全性的 OpenSSL 工具集，用于证书生成、加密/解密操作、SSL/TLS 配置验证等场景，适用于容器化环境下的开发、测试及生产部署。

核心功能与特性

• 轻量级基础：基于 Alpine Linux，镜像体积极小（通常小于 10MB），启动速度快，资源占用低。
• 每日更新：通过自动化构建流程每日更新，确保集成最新的 OpenSSL 安全修复和 Alpine 系统补丁。
• 完整工具集：包含完整的 OpenSSL 命令行工具，支持证书生成（X.509、CSR）、密钥管理（RSA/ECDSA）、加密/解密（AES/RSA）、SSL 连接测试等核心功能。
• 安全优化：继承 Alpine Linux 的安全特性（如非 root 用户默认运行、最小化***面），降低容器环境风险。

使用场景与适用范围

• 开发环境：快速生成自签名证书、测试 SSL/TLS 配置。
• CI/CD 流程：在自动化流水线中集成证书签署、文件加密/解密操作。
• 轻量级服务：作为边车容器（Sidecar）为其他服务提供动态证书生成或 SSL 配置能力。
• 嵌入式/边缘环境：适用于资源受限场景（如 IoT 设备、边缘节点）的加密需求。

使用方法与配置说明

基本使用

通过 docker run 命令直接执行 OpenSSL 命令，格式如下：

bash
docker run --rm securefab/openssl-alpine <openssl-command> [options]

示例 1：查看 OpenSSL 版本

bash
docker run --rm securefab/openssl-alpine openssl version

输出示例：

OpenSSL 3.1.4 24 Oct 2023 (Library: OpenSSL 3.1.4 24 Oct 2023)

示例 2：生成自签名证书

挂载本地目录到容器内，将生成的证书保存到宿主机：

bash
# 在当前目录创建证书输出目录
mkdir -p certs
# 生成 RSA 密钥和自签名证书（有效期 365 天）
docker run --rm -v $(pwd)/certs:/output securefab/openssl-alpine \
  openssl req -x509 -newkey rsa:4096 \
  -keyout /output/server.key -out /output/server.crt \
  -days 365 -nodes \
  -subj "/C=CN/ST=Beijing/L=Beijing/O=Example/OU=IT/CN=example.com"

执行后，./certs 目录下将生成 server.key（私钥）和 server.crt（证书）。

自定义配置

通过命令行参数配置

OpenSSL 功能通过命令行参数直接控制，具体参数参考 OpenSSL ***文档。

通过配置文件自定义

如需使用自定义 openssl.cnf（如调整证书扩展、默认算法等），可挂载本地配置文件到容器内的 /etc/ssl/openssl.cnf：

bash
docker run --rm -v $(pwd)/openssl.cnf:/etc/ssl/openssl.cnf \
  -v $(pwd)/certs:/output securefab/openssl-alpine \
  openssl req -new -config /etc/ssl/openssl.cnf -out /output/server.csr

Docker Compose 部署示例

适用于需要在多容器环境中集成 OpenSSL 操作的场景（如配合 Nginx 生成证书）：

yaml
# docker-compose.yml
version: '3'
services:
  openssl:
    image: securefab/openssl-alpine
    volumes:
      - ./certs:/output  # 挂载本地目录保存证书
    command: >
      openssl req -x509 -newkey rsa:4096
      -keyout /output/server.key -out /output/server.crt
      -days 365 -nodes
      -subj "/CN=localhost"

启动服务（生成证书）：

bash
docker-compose up

注意事项

• 数据持久化：容器默认无持久化存储，需通过 -v 挂载宿主机目录保存生成的密钥/证书。
• 权限管理：挂载目录时注意宿主机用户权限，避免容器内写入文件后宿主机无法访问（可通过 --user $(id -u):$(id -g) 指定用户 ID）。
• 安全最佳实践：生产环境中避免使用自签名证书，建议通过 Let's Encrypt 等权威 CA 获取证书；敏感操作（如私钥生成）需确保环境隔离。