yanhui/cangku
1
0
Fork 0
forked from lunanting/cangku
Code Pull Requests Activity

security: run managed Redis unprivileged

Browse Source
This commit is contained in:
lunanting 2026-09-12 17:33:26 +08:00
parent e1772917ea
commit 4f78a5b512
2 changed files with 2 additions and 1 deletions
Show Stats Download Patch File Download Diff File Expand all files Collapse all files

2
deploy/production/README.md
View File

@ -13,4 +13,4 @@
SSH 隧道账号只接受由注册服务 CA 签发的短期证书，只允许转发到服务器 `127.0.0.1:3307`，并关闭终端、TTY、代理转发和密码认证。生产主机的 SSH 管理账号使用独立密钥，关闭密码登录。 SSH 隧道账号只接受由注册服务 CA 签发的短期证书，只允许转发到服务器 `127.0.0.1:3307`，并关闭终端、TTY、代理转发和密码认证。生产主机的 SSH 管理账号使用独立密钥，关闭密码登录。
Redis 原始端口不映射到宿主机。公网 `6380` 只接受 TLS，注册服务为每台设备创建独立 ACL 账号；停用安装会删除该账号。ACL 保存在 Redis 数据卷的 `users.acl`，注册与撤销后立即执行 `ACL SAVE`，容器重启不会丢失设备账号。证书文件应归属 HAProxy 容器的 `99:99` 并保持 `0600`，续期后需重新生成 `/opt/cangku/shared/redis-tls.pem`、恢复该属主并重启 TLS 网关。 Redis 原始端口不映射到宿主机，容器以镜像内置的非特权 `redis` 用户运行。公网 `6380` 只接受 TLS，注册服务为每台设备创建独立 ACL 账号；停用安装会删除该账号。ACL 保存在 Redis 数据卷的 `users.acl`，注册与撤销后立即执行 `ACL SAVE`，容器重启不会丢失设备账号。证书文件应归属 HAProxy 容器的 `99:99` 并保持 `0600`，续期后需重新生成 `/opt/cangku/shared/redis-tls.pem`、恢复该属主并重启 TLS 网关。

1
deploy/production/docker-compose.yml
View File

@ -29,6 +29,7 @@ services:
image: redis:7.4-alpine image: redis:7.4-alpine
container_name: cangku-redis container_name: cangku-redis
restart: unless-stopped restart: unless-stopped
user: "999:1000"
env_file: env_file:
- /opt/cangku/shared/redis.env - /opt/cangku/shared/redis.env
command: ["sh", "-c", "if [ ! -s /data/users.acl ]; then printf 'user default on >%s ~* +@all\\n' \"$$REDIS_PASSWORD\" > /data/users.acl; fi; exec redis-server --appendonly yes --save 60 1000 --aclfile /data/users.acl"] command: ["sh", "-c", "if [ ! -s /data/users.acl ]; then printf 'user default on >%s ~* +@all\\n' \"$$REDIS_PASSWORD\" > /data/users.acl; fi; exec redis-server --appendonly yes --save 60 1000 --aclfile /data/users.acl"]