Переменные окружения Base

Все параметры задаются в файле .env. Файл-образец .env.example поставляется вместе с docker-compose профилем base.

1. Сеть и TLS

Переменная Описание Пример

Переменная	Описание	Пример
`DOMAIN`	Основной домен платформы Base. Используется для формирования имён поддоменов сервисов (`meta.<DOMAIN>`, `ustate.<DOMAIN>`)	`starguard.local`
`TLS_CERT_PATH`	Путь к TLS-сертификату относительно директории `docker-compose.yml`	`./certs/cert.pem`
`TLS_KEY_PATH`	Путь к приватному ключу сертификата	`./certs/key.pem`
`HTTPS_PORT`	Внешний HTTPS-порт Nginx	`443`
`HTTP_PORT`	Внешний HTTP-порт Nginx (редирект на HTTPS)	`80`

DOMAIN

Основной домен платформы Base. Используется для формирования имён поддоменов сервисов (meta.<DOMAIN>, ustate.<DOMAIN>)

starguard.local

TLS_CERT_PATH

Путь к TLS-сертификату относительно директории docker-compose.yml

./certs/cert.pem

TLS_KEY_PATH

Путь к приватному ключу сертификата

./certs/key.pem

HTTPS_PORT

Внешний HTTPS-порт Nginx

443

HTTP_PORT

Внешний HTTP-порт Nginx (редирект на HTTPS)

80

2. PostgreSQL

Переменная Описание Пример

Переменная	Описание	Пример
`POSTGRES_HOST`	Хост PostgreSQL	`postgres`
`POSTGRES_PORT`	Порт PostgreSQL	`5432`
`POSTGRES_DB`	Имя базы данных	`starguard`
`POSTGRES_USER`	Имя пользователя БД	`starguard`
`POSTGRES_PASSWORD`	Пароль пользователя БД (обязательно изменить)	`CHANGE_ME`

POSTGRES_HOST

Хост PostgreSQL

postgres

POSTGRES_PORT

Порт PostgreSQL

5432

POSTGRES_DB

Имя базы данных

starguard

POSTGRES_USER

Имя пользователя БД

starguard

POSTGRES_PASSWORD

Пароль пользователя БД (обязательно изменить)

CHANGE_ME

3. Redis

Переменная Описание Пример

Переменная	Описание	Пример
`REDIS_HOST`	Хост Redis	`redis`
`REDIS_PORT`	Порт Redis	`6379`
`REDIS_PASSWORD`	Пароль Redis (обязательно изменить)	`CHANGE_ME`
`REDIS_DB`	Номер базы данных Redis	`0`

REDIS_HOST

Хост Redis

redis

REDIS_PORT

Порт Redis

6379

REDIS_PASSWORD

Пароль Redis (обязательно изменить)

CHANGE_ME

REDIS_DB

Номер базы данных Redis

0

4. ClickHouse

Переменная Описание Пример

Переменная	Описание	Пример
`CLICKHOUSE_HOST`	Хост ClickHouse	`clickhouse`
`CLICKHOUSE_PORT`	HTTP-порт ClickHouse	`8123`
`CLICKHOUSE_NATIVE_PORT`	Нативный порт ClickHouse	`9000`
`CLICKHOUSE_DB`	Имя базы данных событий	`meta_saver`
`CLICKHOUSE_ANALYTICS_DB`	Имя базы данных сервиса аналитики	`analytics`
`CLICKHOUSE_USER`	Имя пользователя ClickHouse	`admin`
`CLICKHOUSE_PASSWORD`	Пароль пользователя ClickHouse (обязательно изменить)	`CHANGE_ME`
`CLICKHOUSE_DEFAULT_ACCESS_MANAGEMENT`	Включение управления доступом по умолчанию	`1`

CLICKHOUSE_HOST

Хост ClickHouse

clickhouse

CLICKHOUSE_PORT

HTTP-порт ClickHouse

8123

CLICKHOUSE_NATIVE_PORT

Нативный порт ClickHouse

9000

CLICKHOUSE_DB

Имя базы данных событий

meta_saver

CLICKHOUSE_ANALYTICS_DB

Имя базы данных сервиса аналитики

analytics

CLICKHOUSE_USER

Имя пользователя ClickHouse

admin

CLICKHOUSE_PASSWORD

Пароль пользователя ClickHouse (обязательно изменить)

CHANGE_ME

CLICKHOUSE_DEFAULT_ACCESS_MANAGEMENT

Включение управления доступом по умолчанию

1

5. Meta Saver (Vector)

Переменная Описание Пример

Переменная	Описание	Пример
`META_SAVER_HOST`	Имя сервиса Vector	`vector`
`META_SAVER_PORT`	HTTP-порт приёмника событий	`8686`

META_SAVER_HOST

Имя сервиса Vector

vector

META_SAVER_PORT

HTTP-порт приёмника событий

8686

6. Core (основной бэкенд StarGuard Base)

Переменная Описание

Переменная	Описание
`CORE_IMAGE`	Docker-образ сервиса Core
`CORE_HOST`	Имя сервиса Core внутри docker-сети
`CORE_PORT`	Внутренний порт Core
`INIT_ADMIN_PASSWORD`	Пароль администратора `admin`, создаваемого при первом запуске (обязательно изменить)
`SECRET_KEY`	Секретный ключ для подписи JWT-токенов и шифрования секретов конфигурации (ключи моделей, секреты OIDC и сканов). Должен быть уникальным и непредсказуемым. Используется также сервисами User State и Analytics
`JWT_TTL`	Время жизни JWT-токена в часах
`ORIGINS`	Список разрешённых CORS-источников через запятую
`SCANNER_SERVICE_TOKEN`	Общий секрет для аутентификации сервиса Scanner в Core. Должен совпадать со значением на стороне Scanner
`SCAN_FILE_STORAGE_DIR`	Каталог, в котором Core хранит загруженные файлы моделей для сканирования
`SCAN_TASK_STUCK_SECONDS`	Таймаут, по истечении которого зависший прогон сканирования переводится в состояние «Ошибка»
`SCAN_REAPER_INTERVAL_SECONDS`	Периодичность проверки зависших прогонов
`LOG_LEVEL`	Уровень логирования (`DEBUG`, `INFO`, `WARNING`, `ERROR`)
`LOG_PATH`	Путь к файлу логов внутри контейнера
`DEBUG`	Режим отладки (`true` / `false`)

CORE_IMAGE

Docker-образ сервиса Core

CORE_HOST

Имя сервиса Core внутри docker-сети

CORE_PORT

Внутренний порт Core

INIT_ADMIN_PASSWORD

Пароль администратора admin, создаваемого при первом запуске (обязательно изменить)

SECRET_KEY

Секретный ключ для подписи JWT-токенов и шифрования секретов конфигурации (ключи моделей, секреты OIDC и сканов). Должен быть уникальным и непредсказуемым. Используется также сервисами User State и Analytics

JWT_TTL

Время жизни JWT-токена в часах

ORIGINS

Список разрешённых CORS-источников через запятую

SCANNER_SERVICE_TOKEN

Общий секрет для аутентификации сервиса Scanner в Core. Должен совпадать со значением на стороне Scanner

SCAN_FILE_STORAGE_DIR

Каталог, в котором Core хранит загруженные файлы моделей для сканирования

SCAN_TASK_STUCK_SECONDS

Таймаут, по истечении которого зависший прогон сканирования переводится в состояние «Ошибка»

SCAN_REAPER_INTERVAL_SECONDS

Периодичность проверки зависших прогонов

LOG_LEVEL

Уровень логирования (DEBUG, INFO, WARNING, ERROR)

LOG_PATH

Путь к файлу логов внутри контейнера

DEBUG

Режим отладки (true / false)

Примечание. Переменные группы SCAN* нужны только при использовании сканирования. Сервис Scanner не входит в поставляемые docker-compose профили и разворачивается Helm-чартом (Развертывание в Kubernetes) или отдельным контейнером; в этом случае перечисленные переменные нужно добавить в описание сервиса core вручную.

Примечание. Каталог SCAN_FILE_STORAGE_DIR находится внутри контейнера Core. Чтобы загруженные файлы моделей переживали пересоздание контейнера, смонтируйте на этот путь том.

7. Platform OIDC (опционально)

Опциональная аутентификация администраторов StarGuard Base через корпоративный Identity Provider. Если не используется, переменные можно оставить пустыми.

Переменная Описание

Переменная	Описание
`PLATFORM_OIDC_ENABLED`	Включение Platform OIDC (`true` / `false`)
`PLATFORM_OIDC_ISSUER`	URL эмитента токенов OIDC-провайдера
`PLATFORM_OIDC_CLIENT_ID`	Идентификатор клиентского приложения
`PLATFORM_OIDC_CLIENT_SECRET`	Секрет клиента (опционально)
`PLATFORM_OIDC_WELL_KNOWN_URL`	URL `.well-known/openid-configuration` провайдера
`PLATFORM_OIDC_REDIRECT_URI`	URL, на который OIDC-провайдер возвращает пользователя после авторизации (`https://<DOMAIN>/api/v1/auth/oidc/callback`)

PLATFORM_OIDC_ENABLED

Включение Platform OIDC (true / false)

PLATFORM_OIDC_ISSUER

URL эмитента токенов OIDC-провайдера

PLATFORM_OIDC_CLIENT_ID

Идентификатор клиентского приложения

PLATFORM_OIDC_CLIENT_SECRET

Секрет клиента (опционально)

PLATFORM_OIDC_WELL_KNOWN_URL

URL .well-known/openid-configuration провайдера

PLATFORM_OIDC_REDIRECT_URI

URL, на который OIDC-провайдер возвращает пользователя после авторизации (https://<DOMAIN>/api/v1/auth/oidc/callback)

8. OIDC-провайдер пользователей шлюза по умолчанию (опционально)

При старте Core может автоматически создать OIDC-конфигурацию для пользователей шлюзов, если записи с таким issuer ещё нет. Это избавляет от ручного создания провайдера при первом развёртывании. Существующая запись при перезапуске не перезаписывается — правки, внесённые в интерфейсе, сохраняются.

Переменная Описание

Переменная	Описание
`DEFAULT_OIDC_NAME`	Отображаемое имя провайдера
`DEFAULT_OIDC_ISSUER`	URL эмитента токенов
`DEFAULT_OIDC_CLIENT_ID`	Идентификатор клиента
`DEFAULT_OIDC_CLIENT_SECRET`	Секрет клиента
`DEFAULT_OIDC_WELL_KNOWN_URL`	URL `.well-known/openid-configuration`
`DEFAULT_OIDC_VERIFY_AUD`	Проверять поле `aud` в токене (по умолчанию `true`)
`DEFAULT_OIDC_USERNAME_CLAIM`	Путь к claim с именем пользователя (по умолчанию `preferred_username`)
`DEFAULT_OIDC_GROUPS_CLAIM`	Путь к claim с группами (по умолчанию `groups`)
`DEFAULT_OIDC_REDIRECT_SCHEME`	Схема, с которой портал собирает `redirect_uri` (`https` или `http`)

DEFAULT_OIDC_NAME

Отображаемое имя провайдера

DEFAULT_OIDC_ISSUER

URL эмитента токенов

DEFAULT_OIDC_CLIENT_ID

Идентификатор клиента

DEFAULT_OIDC_CLIENT_SECRET

Секрет клиента

DEFAULT_OIDC_WELL_KNOWN_URL

URL .well-known/openid-configuration

DEFAULT_OIDC_VERIFY_AUD

Проверять поле aud в токене (по умолчанию true)

DEFAULT_OIDC_USERNAME_CLAIM

Путь к claim с именем пользователя (по умолчанию preferred_username)

DEFAULT_OIDC_GROUPS_CLAIM

Путь к claim с группами (по умолчанию groups)

DEFAULT_OIDC_REDIRECT_SCHEME

Схема, с которой портал собирает redirect_uri (https или http)

9. User State

Переменная Описание Пример

Переменная	Описание	Пример
`USER_STATE_IMAGE`	Docker-образ сервиса User State	—
`USER_STATE_HOST`	Имя сервиса User State	`user-state`
`USER_STATE_PORT`	Внутренний порт User State	`8000`

USER_STATE_IMAGE

Docker-образ сервиса User State

—

USER_STATE_HOST

Имя сервиса User State

user-state

USER_STATE_PORT

Внутренний порт User State

8000

10. Analytics

Переменная Описание Пример

Переменная	Описание	Пример
`ANALYTICS_IMAGE`	Docker-образ сервиса аналитики	—
`ANALYTICS_HOST`	Имя сервиса аналитики	`analytics`
`ANALYTICS_PORT`	Внутренний порт сервиса	`8080`
`CORE_URL`	Внутренний адрес Core для проверки прав пользователя	`http://core:44000`

ANALYTICS_IMAGE

Docker-образ сервиса аналитики

—

ANALYTICS_HOST

Имя сервиса аналитики

analytics

ANALYTICS_PORT

Внутренний порт сервиса

8080

CORE_URL

Внутренний адрес Core для проверки прав пользователя

http://core:44000

Сервис аналитики публикуется на том же домене, что и интерфейс, по пути /api/v1/analytics/. Отдельная DNS-запись для него не нужна.

11. Frontend

Переменная Описание Пример

Переменная	Описание	Пример
`FRONTEND_IMAGE`	Docker-образ сервиса Frontend	—
`FRONTEND_HOST`	Имя сервиса Frontend	`frontend`
`FRONTEND_PORT`	Внутренний порт Frontend	`80`

FRONTEND_IMAGE

Docker-образ сервиса Frontend

—

FRONTEND_HOST

Имя сервиса Frontend

frontend

FRONTEND_PORT

Внутренний порт Frontend

80