opsx
d584b64813
参考 lokistack 的实现：
1. 首次启动生成 16 位随机密码（大小写+数字，排除 0/O/1/l/I 易混淆字符）
- 4 个默认账号共用：admin / dba / auditor / developer
- 写入数据目录 initial-admin-password.txt（0600）
- 打印到启动日志（含账号列表、密码、文件路径、docker/kubectl 获取命令）
2. 支持 ADMIN_INIT_PASSWORD 环境变量覆盖（自动化部署 / 需要固定密码时）
3. 生成失败直接 log.Fatalf 退出，不降级到公开默认口令
4. 批量导入用户 BatchImportUsers：空密码不再默认 admin123，
改为随机 14 位（新增 genPassword），保证每个导入用户密码不可预测
5. 幂等：已存在的账号不重建、不改密码；只有缺失的账号才创建
6. imagePullPolicy: IfNotPresent → Always
原因：latest tag 配 IfNotPresent 会导致节点一直复用缓存的旧镜像，
新 push 的镜像不生效（本次实测踩到：Pod imageID 仍是旧 digest）
7. 文档
- README 新增「首次部署获取默认账号密码」章节（含 4 账号角色表 + 3 种获取方式）
- docker-compose.yml 加 ADMIN_INIT_PASSWORD 环境变量
- kubernetes/deployment.yaml 加 env 注释
验证（清空 DB 后全新 seed）：
镜像 sha256:eaf0affd8d93
/app/data/initial-admin-password.txt 199B 权限 0600
内容含 "适用账号: [admin dba auditor developer]" + 随机密码
启动日志完整打印获取方式
登录实测：admin / dba / developer 用新密码均返回 access_token；
admin123 登录失败（已失效）
二进制 strings：admin123 命中 0
74 lines
2.2 KiB
YAML
74 lines
2.2 KiB
YAML
# ============================================================
|
|
# opsxsql - Docker Compose 部署(单镜像,参照 opsx-loki)
|
|
# 安全基线: 非 root / no-new-privileges / 健康检查 / 资源限额 / 日志轮转
|
|
# 使用:
|
|
# export SECRET_KEY=$(openssl rand -hex 32)
|
|
# export JWT_SECRET=$(openssl rand -hex 32) # 可选;不设则生产模式自动生成并持久化
|
|
# docker compose up -d --build
|
|
# 访问: http://localhost:9000 (前后端同源,无需单独的前端容器)
|
|
# ============================================================
|
|
|
|
services:
|
|
opsxsql:
|
|
build:
|
|
context: .
|
|
dockerfile: Dockerfile
|
|
args:
|
|
TARGETARCH: ${TARGETARCH:-amd64}
|
|
image: opsxsql:latest
|
|
container_name: opsxsql
|
|
hostname: opsxsql
|
|
|
|
security_opt:
|
|
- no-new-privileges:true
|
|
cap_drop:
|
|
- ALL
|
|
|
|
ports:
|
|
- "${OPSXSQL_PORT:-9000}:9000"
|
|
|
|
volumes:
|
|
- opsxsql-data:/app/data
|
|
|
|
environment:
|
|
- PORT=9000
|
|
- DB_PATH=/app/data/sqlite3.db
|
|
- DEBUG=${DEBUG:-false}
|
|
# AES 密钥(实例/LDAP 密码加密): 必须外部提供,且部署后不可更换
|
|
- "SECRET_KEY=${SECRET_KEY:?SECRET_KEY is required. Generate: openssl rand -hex 32}"
|
|
# JWT 密钥: 可选;生产模式未提供时自动生成随机密钥并持久化到数据卷
|
|
- JWT_SECRET=${JWT_SECRET:-}
|
|
# 可选：默认账号初始密码。不设置则首次启动生成 16 位随机密码，
|
|
# 写入数据卷 initial-admin-password.txt 并打印到启动日志
|
|
# 获取：docker compose exec opsxsql cat /app/data/initial-admin-password.txt
|
|
- ADMIN_INIT_PASSWORD=${ADMIN_INIT_PASSWORD:-}
|
|
|
|
healthcheck:
|
|
test: ["CMD", "wget", "--no-verbose", "--tries=1", "--spider", "http://localhost:9000/health"]
|
|
interval: 30s
|
|
timeout: 5s
|
|
retries: 3
|
|
start_period: 15s
|
|
|
|
deploy:
|
|
resources:
|
|
limits:
|
|
cpus: '2.0'
|
|
memory: 1G
|
|
reservations:
|
|
cpus: '0.25'
|
|
memory: 128M
|
|
|
|
logging:
|
|
driver: "json-file"
|
|
options:
|
|
max-size: "50m"
|
|
max-file: "5"
|
|
|
|
restart: unless-stopped
|
|
stop_grace_period: 15s
|
|
|
|
volumes:
|
|
opsxsql-data:
|
|
driver: local
|