janssenproject/auth-server

概述

Janssen授权服务器的Docker镜像打包，提供容器化部署方式，便于快速搭建和运行Janssen授权服务。

版本

稳定版本请参见https://github.com/JanssenProject/docker-jans-auth-server/releases。对于前沿/不稳定版本，请使用 janssenproject/auth-server:1.0.0_dev。

核心功能与特性

• 支持多种配置后端适配器（Consul、Kubernetes、Google）
• 兼容多种密钥管理方案（Vault、Kubernetes、Google Secret Manager）
• 提供灵活的持久化存储选项（LDAP、Couchbase、混合模式）
• 可配置的Java运行参数，支持资源限制与调试
• 集成文档存储功能，支持本地存储或JCA远程存储

使用场景与适用范围

适用于需要部署Janssen授权服务器的企业级身份认证与授权场景，尤其适合容器化部署环境（如Kubernetes集群、Docker Compose等），支持多云和混合云架构。

环境变量

容器支持以下环境变量配置：

配置后端相关

• CN_CONFIG_ADAPTER：配置后端适配器，可选值为 consul（默认）、kubernetes 或 google。
• CN_CONFIG_CONSUL_HOST：Consul的主机名或IP（默认 localhost）。
• CN_CONFIG_CONSUL_PORT：Consul的端口（默认 8500）。
• CN_CONFIG_CONSUL_CONSISTENCY：Consul一致性模式，可选 default、consistent 或 stale（默认 stale）。
• CN_CONFIG_CONSUL_SCHEME：Consul支持的协议（http 或 https）。
• CN_CONFIG_CONSUL_VERIFY：是否验证证书（默认 false）。
• CN_CONFIG_CONSUL_CACERT_FILE：Consul CA证书文件路径（默认 /etc/certs/consul_ca.crt），当 CN_CONFIG_CONSUL_VERIFY 设为 true 且文件存在时使用。
• CN_CONFIG_CONSUL_CERT_FILE：Consul证书文件路径（默认 /etc/certs/consul_client.crt）。
• CN_CONFIG_CONSUL_KEY_FILE：Consul密钥文件路径（默认 /etc/certs/consul_client.key）。
• CN_CONFIG_CONSUL_TOKEN_FILE：包含ACL令牌的文件路径（默认 /etc/certs/consul_token）。
• CN_CONFIG_KUBERNETES_NAMESPACE：Kubernetes命名空间（默认 default）。
• CN_CONFIG_KUBERNETES_CONFIGMAP：Kubernetes配置映射名称（默认 jans）。
• CN_CONFIG_KUBERNETES_USE_KUBE_CONFIG：是否从 $HOME/.kube/config 加载凭据（仅非容器环境有用，默认 false）。
• CN_CONFIG_GOOGLE_SECRET_VERSION_ID：Google Secret Manager中Janssen配置密钥的版本ID（默认 latest，推荐使用）。
• CN_CONFIG_GOOGLE_SECRET_NAME_PREFIX：Google Secret Manager中Janssen配置密钥的前缀（默认 jans，将创建 jans-configuration 密钥）。

密钥管理相关

• CN_SECRET_ADAPTER：密钥适配器，可选值为 vault（默认）、kubernetes 或 google。
• CN_SECRET_VAULT_SCHEME：Vault支持的协议（http 或 https）。
• CN_SECRET_VAULT_HOST：Vault的主机名或IP（默认 localhost）。
• CN_SECRET_VAULT_PORT：Vault的端口（默认 8200）。
• CN_SECRET_VAULT_VERIFY：是否验证证书（默认 false）。
• CN_SECRET_VAULT_ROLE_ID_FILE：包含Vault AppRole角色ID的文件路径（默认 /etc/certs/vault_role_id）。
• CN_SECRET_VAULT_SECRET_ID_FILE：包含Vault AppRole密钥ID的文件路径（默认 /etc/certs/vault_secret_id）。
• CN_SECRET_VAULT_CERT_FILE：Vault证书文件路径（默认 /etc/certs/vault_client.crt）。
• CN_SECRET_VAULT_KEY_FILE：Vault密钥文件路径（默认 /etc/certs/vault_client.key）。
• CN_SECRET_VAULT_CACERT_FILE：Vault CA证书文件路径（默认 /etc/certs/vault_ca.crt），当 CN_SECRET_VAULT_VERIFY 设为 true 且文件存在时使用。
• CN_SECRET_KUBERNETES_NAMESPACE：Kubernetes命名空间（默认 default）。
• CN_SECRET_KUBERNETES_SECRET：Kubernetes密钥名称（默认 jans）。
• CN_SECRET_KUBERNETES_USE_KUBE_CONFIG：是否从 $HOME/.kube/config 加载凭据（仅非容器环境有用，默认 false）。
• CN_SECRET_GOOGLE_SECRET_VERSION_ID：Google Secret Manager中Janssen密钥的版本ID（默认 latest，推荐使用）。
• CN_SECRET_GOOGLE_SECRET_MANAGER_PASSPHRASE：Google Secret Manager中Janssen密钥的密码（推荐修改，默认 secret）。
• CN_SECRET_GOOGLE_SECRET_NAME_PREFIX：Google Secret Manager中Janssen密钥的前缀（默认 jans，将创建 jans-secret 密钥）。

启动与Java配置相关

• CN_WAIT_MAX_TIME：启动“健康检查”的最长运行时间（默认 300 秒）。
• CN_WAIT_SLEEP_DURATION：启动“健康检查”之间的延迟（默认 10 秒）。
• CN_MAX_RAM_PERCENTAGE：传递给Java选项 -XX:MaxRAMPercentage 的值。
• CN_DEBUG_PORT：远程调试端口（若省略则禁用远程调试）。
• CN_JAVA_OPTIONS：传递给入口点的Java选项，如 -Xmx1024m（默认空字符串）。

持久化存储相关

• CN_PERSISTENCE_TYPE：使用的持久化后端，可选 ldap、couchbase 或 hybrid（默认 ldap）。
• CN_PERSISTENCE_LDAP_MAPPING：指定应保存在LDAP中的数据，可选 default、user、cache、site、token 或 session（默认 default），仅当 CN_PERSISTENCE_TYPE 设为 hybrid 时生效。
• CN_LDAP_URL：LDAP服务器的地址和端口（默认 localhost:1636），当 CN_PERSISTENCE_TYPE 设为 ldap 或 hybrid 时必填。
• CN_LDAP_USE_SSL：是否使用SSL连接LDAP服务器（默认 true）。
• CN_COUCHBASE_URL：Couchbase服务器的地址（默认 localhost），当 CN_PERSISTENCE_TYPE 设为 couchbase 或 hybrid 时必填。
• CN_COUCHBASE_USER：Couchbase服务器的用户名（默认 admin），当 CN_PERSISTENCE_TYPE 设为 couchbase 或 hybrid 时必填。
• CN_COUCHBASE_CERT_FILE：Couchbase根证书位置（默认 /etc/certs/couchbase.crt），当 CN_PERSISTENCE_TYPE 设为 couchbase 或 hybrid 时必填。
• CN_COUCHBASE_PASSWORD_FILE：包含Couchbase密码的文件路径（默认 /etc/jans/conf/couchbase_password），当 CN_PERSISTENCE_TYPE 设为 couchbase 或 hybrid 时必填。
• CN_COUCHBASE_CONN_TIMEOUT：打开bucket时的连接超时（默认 10000 毫秒）。
• CN_COUCHBASE_CONN_MAX_WAIT：重试连接前的最长等待时间（默认 20000 毫秒）。
• CN_COUCHBASE_SCAN_CONSISTENCY：默认扫描一致性，可选 not_bounded、request_plus 或 statement_plus（默认 not_bounded）。
• CN_COUCHBASE_BUCKET_PREFIX：Couchbase bucket的前缀（默认 jans）。
• CN_COUCHBASE_TRUSTSTORE_ENABLE：是否为加密Couchbase连接启用信任存储（默认 true）。
• CN_COUCHBASE_KEEPALIVE_INTERVAL：Couchbase连接的保活间隔（默认 30000 毫秒）。
• CN_COUCHBASE_KEEPALIVE_TIMEOUT：Couchbase连接的保活超时（默认 2500 毫秒）。

文档存储相关

• CN_DOCUMENT_STORE_TYPE：文档存储类型，可选 LOCAL 或 JCA（默认 LOCAL）。
• CN_JACKRABBIT_URL：远程仓库的URL（默认 http://localhost:8080）。
• CN_JACKRABBIT_SYNC_INTERVAL：文件同步间隔（默认 300 秒）。
• CN_JACKRABBIT_ADMIN_ID：管理员用户名（默认 admin）。
• CN_JACKRABBIT_ADMIN_PASSWORD_FILE：包含管理员用户密码的文件绝对路径（默认 /etc/jans/conf/jackrabbit_admin_password）。
• CN_SYNC_JKS_ENABLED：是否启用JKS同步（默认 false），若使用 gluufederation/key-rotation:4.1.1_02 及以下版本（用于密钥再生），需启用此标志。
• CN_SYNC_JKS_INTERVAL：JKS同步间隔（秒），已过时。

Google云服务相关

• GOOGLE_PROJECT_ID：Google项目ID（默认空字符串），当 CN_CONFIG_ADAPTER 或 CN_SECRET_ADAPTER 设为 google 时使用。
• GOOGLE_APPLICATION_CREDENTIALS：Google凭据JSON文件路径（默认 /etc/jans/conf/google-credentials.json），当 CN_CONFIG_ADAPTER 或 CN_SECRET_ADAPTER 设为 google 时使用。
• CN_GOOGLE_SPANNER_INSTANCE_ID：Google Spanner实例ID。
• CN_GOOGLE_SPANNER_DATABASE_ID：Google Spanner数据库ID。

Jetty配置相关

• CN_JETTY_REQUEST_HEADER_SIZE：Jetty接受的请求头最大大小（默认 8192）。

使用方法

基本运行命令

通过以下命令启动容器，根据实际环境配置必要的环境变量：

bash
docker run -d \
  -e CN_CONFIG_ADAPTER=consul \
  -e CN_CONFIG_CONSUL_HOST=consul.example.com \
  -e CN_LDAP_URL=ldap.example.com:1636 \
  -e CN_PERSISTENCE_TYPE=ldap \
  --name jans-auth-server \
  docker.xuanyuan.run/janssenproject/auth-server:latest

配置说明

1. 根据部署环境选择合适的配置后端（Consul/Kubernetes/Google）并设置相应参数
2. 配置持久化存储类型（LDAP/Couchbase/混合模式），并提供必要的连接信息
3. 如需使用密钥管理服务（Vault/Kubernetes/Google Secret Manager），设置对应的密钥适配器及凭据
4. 可通过 CN_JAVA_OPTIONS 调整Java运行参数，如内存限制等

注意事项

• 生产环境中应修改默认密码（如 CN_SECRET_GOOGLE_SECRET_MANAGER_PASSPHRASE）
• 确保配置的证书文件（如Consul、Vault、Couchbase证书）已挂载到容器内指定路径
• 对于Kubernetes环境，建议使用ConfigMap和Secret管理配置与密钥信息