堡垒机-tacPort容器化部署

容器化部署 ​ 

 准备工作 ​ 

 操作系统 ​ 

 TacPort 支持以 docker 容器的方式进行部署，对应操作系统的要求，也就是对 docker 宿主机系统的要求。例如，您可以在 macOS 系统的 Docker Desktop 环境中部署容器化的 TacPort 节点。 

 初始化数据库 ​ 

 提示 

 如果您有数据库管理员账号及密码，可以跳过初始化数据库的步骤，在部署后由 TacPort 来为您创建并初始化数据库。 

 下面以 MySQL 8.x 为例说明如何为 TacPort 创建库及用户，并授予相应的访问权限。示例中的信息如下： 

 

 库名： tacport 

 用户： tacport 

 密码： Pas5*w0rd 

 

 shell 

 # 先以数据库管理员身份连接数据库

mysql -uroot -p

# 此时提示输入密码，请输入数据库root账号的密码 

 

 1 2 3 

 

 输入正确的密码后，进入MySQL交互式环境： 

 sql 

 -- 进入MySQL交互式环境后，执行以下SQL语句：

CREATE DATABASE tacport DEFAULT CHARACTER SET utf8mb4 COLLATE utf8mb4_0900_ai_ci;

CREATE USER `tacport`@`localhost` IDENTIFIED BY 'Pas5*w0rd';

GRANT ALL PRIVILEGES ON tacport.* TO `tacport`@`localhost`;

FLUSH PRIVILEGES;

-- 最后执行quit退出MySQL交互式环境

quit;

-- 要改所有主机访问，删除原来的本地用户（可选，如果你不需要限制 localhost 的账号）

DROP USER 'tacport'@'localhost';

-- 重新创建一个任意主机可访问的账号

CREATE USER 'tacport'@'%' IDENTIFIED BY 'Pas5*w0rd';

-- 授权数据库

GRANT ALL PRIVILEGES ON tacport.* TO 'tacport'@'%';

-- 刷新权限

FLUSH PRIVILEGES;

 

 

 1 2 3 4 5 6 7 8 

 

 准备docker镜像 ​ 

 提示 

 如果您能够直接访问 docker.hub 拉取镜像，那么可以跳过本小节，直接进入部署阶段。 

 因为一些周知的原因，国内难以从 docker.hub 拉取镜像，亦或者拉取镜像非常缓慢，另外就是可能您的环境不允许直接访问外部互联网。有鉴于此，我们提供了预制的 TacPort 节点服务的 docker 镜像文件。 

 请从 TP4A 的网站上（或者官方QQ群文件）下载docker镜像文件，然后在您本地服务器中导入。下面我们以 tacport v4.0.7-preview 版本为例进行说明。 

 下载得到的镜像文件名为  tacport-server-4.0.7-preview-docker-img.tar.gz ，文件为使用  docker save  命令导出的并经过了 gnuzip 的压缩。要在您的环境中将镜像导入到 docker 运行环境，请执行： 

 

 Linux macOS 

 

 shell 

 

 

 gnuzip -c ./tacport-server-4.0.7-preview-docker-img.tar.gz | docker load

# 在较新的系统上，没有gnuzip，也可以使用gzip命令：

gzip -c -d ./tacport-server-4.0.7-preview-docker-img.tar.gz | docker load 

 

 

 

 1 2 3 4 

 

 

 

 注意 

 导入的镜像自带版本号为标签，方便后期进行版本管理。 

 提示 

 镜像名称会在很多地方引用，例如docker-compose的配置文件中。为避免每次升级后因镜像名称变动而重新修改这些引用镜像名称的地方，可以对导入的镜像设置一个通用的镜像标签，常见的做法是总是为最新的版本打上 latest 标签，例如： 

 shell 

 docker tag tp4a/tacport:4.0.7-preview tp4a/tacport:latest 

 

 1 

 

 之后，您就可以在需要使用镜像名称的地方，总是使用 tp4a/tacport:latest 来引用最新版本的 TacPort 镜像了。 

 部署 ​ 

 容器化部署有多种方式，例如 docker run，docker-compose，或者 K8s 等。我们这里以 docker-compose 为例进行部署说明。 

 注意 

 以下部署示例中，MySQL 和 Redis 均部署在运行 docker 的宿主机上，因此，在容器中访问宿主机上的服务时，宿主机可以通过  host.docker.internal  来访问。 

 如果您的环境并非如此，请在您的 docker-compose 配置文件中修改其服务地址。例如，访问其它容器中的服务，可以直接使用该服务所在的容器名作为主机地址。 

 在合适的目录中创建  docker-compose.yaml  文件，如果您已经有使用中的 docker-compose 配置文件，也可以在原配置文件基础上增加 TacPort 节点服务的内容。 

 docker-compose 配置示例 ​ 

 下面是一个运行 TacPort 服务的 docker-compose 配置文件示例： 

 

 docker-compose.yaml 

 yaml 

 

 services:

 tpnode1:

 image: tp4a/tacport:latest

 container_name: tpv4-node-1

 ports:

 - "7100:52100"

 - "7101:52101"

 environment:

 - TP_ALLOW_INIT=yes

 - TP_NODE_ID=1

 - TP_NODE_ADDR=tpv4.tp4a.com

 - TP_DB_ADDR=host.docker.internal:3306

 - TP_DB_USER=tacport

 - TP_DB_NAME=tacport

 - TP_DB_PASS=Pas5*w0rd

 - TP_SECRET_KEY=48V2%9+zmT

 - TP_REDIS_ADDR=host.docker.internal:6379

 - TP_NODE_SERVICE=api,ssh

 - TP_API_MAPPING_PORT=7100

 - TP_SSH_MAPPING_PORT=7101

 volumes:

 - /nfs-data/tacport-data:/opt/tacport/data

 deploy:

 resources:

 limits:

 cpus: "0.5"

 memory: 1024M 

 

 

 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 

 

 

 下文将对此配置文件进行详细说明。 

 提示 

 您也可以使用 docker-compose 的  env_file  方式来提供环境变量。 

 警告 

 出于示例理解的考虑，这里的docker-compose配置文件中直接在环境变量中写入了密码/密钥等私密数据。实际应用时，应该使用docker-compose提供的 secrets 来保证安全性。 

 docker-compose 配置详解 ​ 

 需要重点关注通过环境变量方式对 TacPort 节点服务进行的配置。如果您对于配置项的作用不甚了解，可以查看 配置项::环境变量 一文。 

 

 docker-compose.yaml 

 yaml 

 

 services: # 定义要运行的服务

 tpnode1: # 服务的名称

 image: tp4a/tacport:latest # 创建此服务容器需要的镜像

 container_name: tpv4-node-1 # 创建的服务容器的名称

 ports: # 端口映射，冒号前为宿主机上的映射端口，后为容器内部的服务监听端口

 - "7100:52100" # 将默认的api服务端口 52100 映射到宿主机上的 7100 端口

 - "7101:52101" # 将默认的ssh协议转发服务端口 52101 映射到宿主机上的 7101 端口

 environment: # 通过环境变量的方式对 TacPort 节点服务进行配置

 - TP_ALLOW_INIT=yes # 首次部署时，允许执行初始化操作（初始化完成后请删除此项，或改为no，以增强安全性）

 - TP_NODE_ID=1 # 节点编号，多个节点实例需保证各个实例的节点编号唯一

 - TP_NODE_ADDR=tpv4.tp4a.com

 - TP_DB_ADDR=host.docker.internal:3306 # 容器内访问宿主机时可以用 host.docker.internal

 - TP_DB_USER=tacport # 可以省略，即，使用默认值

 - TP_DB_NAME=tacport # 可以省略，即，使用默认值

 - TP_DB_PASS=Pas5*w0rd # 建议使用 secrets 来管理私密数据

 - TP_SECRET_KEY=48V2%9+zmT # 建议使用 secrets 来管理私密数据

 - TP_REDIS_ADDR=host.docker.internal:6379

 - TP_NODE_SERVICE=api,ssh # 本节点提供API服务和SSH协议转发服务

 - TP_API_MAPPING_PORT=7100 # 需指明映射的宿主机的端口

 - TP_SSH_MAPPING_PORT=7101

 volumes: # 容器持久化存储，映射卷来存放配置/日志/审计录像文件等等。

 - ./data/tacport:/opt/tacport/data

 deploy: # 指定此容器的资源限制，请根据实际负载进行调整

 resources:

 limits:

 cpus: "0.5"

 memory: 1024M 

 

 

 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 

 

 

 启动服务 ​ 

 执行  docker compose up  来启动服务，此时可以从控制台看到节点服务的日志输出，按  Ctrl+C  来结束服务。可以增加参数  -d  来将服务放到后台运行（比较控制台关闭时将服务也关闭了），像这样： docker compose up -d 。 

 服务启动后，可以访问  http://TP_容器宿主机IP:API服务映射端口  来访问 TacPort 服务了，在本例中，地址为  http://TP_容器宿主机IP:7100 。 

 如同常规部署一样，如果运行时检测到数据库尚未创建或初始化，需要访问初始化页面，参见  常规配置：初始化  一节。在本例中，初始化页面地址为  http://TP_容器宿主机IP:7100/init 。 

 服务日常管理 ​ 

 使用docker命令管理镜像 ​ 

 

 查看服务： docker ps 

 查看镜像： docker images 

 为镜像打tag:  docker tag 源镜像名[:TAG] 新镜像名[:TAG] ，例如： docker tag tp4a/tacport:4.0.7 tp4a/tacport:latest 。需要注意的是，打完tag之后，原来的 镜像:tag 还是存在的，如果原来的标签不需要再使用了，可以将其删除。 

 删除镜像/标签： docker rmi 镜像名[:TAG] ，一个镜像可以有多个标签，当最后一个标签被删除时，才会删除镜像本身。 

 

 使用 docker-compose管理服务 ​ 

 以下操作需在 docker-compose 配置文件所在目录下执行，或者命令行上用  -f  参数来指定配置文件。 

 

 启动服务： docker compose up -d  其中  -d  参数可将docker-compose进程放到后台执行 

 停止服务： docker compose down 

 重启服务：修改了配置文件后，重新执行  docker-compose up -d  即可 

 重启某个服务： docker compose restart 服务名 ，例如，重启第一个节点服务，可以  docker compose restart tpnode1 

 查看服务： docker compose ps 

 查看状态： docker compose stats  查看各容器实时负载状态，按 Ctrl-C 退出