維運平台安全模式

1.1 版本

1.2 應用場景

國企、銀行等客戶，對系統的安全要求較高，需要對維運平台開啟防護機制。

維運平台提供自身的組件級配置「安全模式」，限制外部存取並消除資料殘留風險，確定系統僅對授權網段開放，且敏感操作痕跡自動清理，進而透過安全掃描並降低攻擊面。

1）管理者登入維運平台，點選「維運平台管理>維運組件」。

2）支援為維運平台的這些組件容器開啟「安全模式」：nginx、registry

3）彈窗提醒「開啟安全模式後將自動修改組件相關配置」，點選「確定」，系統自動調整安全相關配置，開啟成功。

關閉安全模式的操作與開啟相同，再次點選對應組件容器的「安全模式」按鈕即可。

3.1 nginx

• 開啟安全模式後：維運平台外掛目錄/nginx/conf/safe中自動建立 safe.conf 檔案，該檔案將作為自訂配置檔案載入到維運平台的 Nginx 主配置中。

• 關閉安全模式後：safe.conf 檔案被自動刪除，相關配置自動消失。

預設配置

safe.conf 檔案包含以下安全回應頭設定，所有經過該 Nginx 容器轉發的組件回應都將攜帶這些安全頭：

經過 Nginx 轉發帶有安全頭的組件：alertmanager，pushgateway，grafana，prometheus，skywalking_oap

add_header Referrer-Policy "same-origin" always;

add_header X-Permitted-Cross-Domain-Policies "none";

add_header Content-Security-Policy "object-src 'self'";

add_header X-Download-Options "noopen";

add_header X-Content-Type-Options "nosniff";

add_header X-XSS-Protection "1; mode=block";

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains";

add_header Cache-Control "no-cache";

add_header Pragma "no-cache";

add_header Expires "Thu, 01 Jan 1970 00:00:00 GMT";

自訂配置

管理者可透過編輯/fanruanxxx/nginx/conf/safe/safe.conf檔案，自訂修改請求頭的配置值。

3.2 registry

組件說明：

Registry 是維運平台的鏡像倉庫組件，用於儲存專案組件的私有鏡像等敏感資訊。關閉 Registry 可阻斷外部網路存取，有效降低潛在風險。

安全模式啟停說明：

• 安全模式開啟時：Registry 容器將自動關閉（狀態變更為 exited）

• 使用者可透過手動點選「啟動」或「關閉安全模式」按鈕啟動 Registry 容器

影響範圍：

關閉 Registry 容器將導致以下依賴本地鏡像倉庫的操作無法執行：

• 部署、升級專案

• 擴容、新增組件

• 備份、還原專案

因此請在執行這些操作前，手動啟動 Registry 容器