kanidm/tools Docker 镜像 - 轩辕镜像

Kanidm CLI工具镜像文档

镜像概述

本镜像包含Kanidm身份管理系统的命令行工具（CLI），用于通过命令行界面与Kanidm服务进行交互。Kanidm是一个轻量、现代的身份管理系统，支持LDAP、OAuth2等协议，而本CLI工具镜像提供了便捷的命令行操作方式，适用于系统管理、自动化脚本集成及服务配置场景。

核心功能与特性

• 用户管理：创建、删除、修改用户账号，设置用户属性（如姓名、***、密码策略）。
• 组管理：创建/删除组、添加/移除组成员、管理组权限。
• 权限控制：配置用户/组的访问权限，管理角色与策略。
• 服务交互：连接并管理Kanidm服务实例，获取服务状态、配置信息。
• 身份验证测试：验证用户凭据、测试身份验证流程。
• 跨平台兼容：基于容器化设计，可在任何支持Docker的环境中运行。

使用场景

• 系统管理员日常操作：通过命令行快速管理Kanidm用户与权限。
• 自动化脚本集成：在CI/CD流程或批量操作脚本中调用CLI，实现用户/组的批量创建、更新。
• 服务器端管理：在无图形界面的服务器环境中配置和维护Kanidm服务。
• 开发与测试：在开发环境中快速测试Kanidm功能或验证配置。

使用方法与配置说明

前提条件

• 已安装Docker引擎（20.10+版本推荐）。
• 可访问Kanidm服务实例（需知道服务URL、管理员凭据）。

1. 拉取镜像

从Docker仓库拉取最新版Kanidm CLI工具镜像：

bash
docker pull kanidm/cli:latest

2. 基本运行命令

通过以下命令启动容器并执行Kanidm CLI命令：

bash
docker run --rm kanidm/cli:latest kanidm <command> [options]

• --rm：容器退出后自动删除，避免残留。
• <command>：Kanidm CLI命令（如user list、group create等）。

3. 连接Kanidm服务配置

CLI工具需配置Kanidm服务地址及凭据才能正常使用，支持两种配置方式：

方式1：通过环境变量配置（推荐）

通过-e参数传递环境变量，指定Kanidm服务连接信息：

bash
docker run --rm \
  -e KANIDM_URL="[***]" \  # Kanidm服务URL
  -e KANIDM_USER="admin" \                           # 管理员用户名
  -e KANIDM_PASSWORD="your-admin-password" \         # 管理员密码（可选，交互式输入更安全）
  kanidm/cli:latest \
  kanidm user list                                   # 示例命令：列出所有用户

方式2：挂载配置文件

将本地Kanidm配置文件（通常位于~/.config/kanidm）挂载到容器中，实现持久化配置：

bash
docker run --rm \
  -v /local/path/to/kanidm/config:/root/.config/kanidm \  # 本地配置目录挂载到容器
  kanidm/cli:latest \
  kanidm group list                                      # 示例命令：列出所有组

4. 常用命令示例

列出所有用户

bash
docker run --rm -e KANIDM_URL="[***]" -e KANIDM_USER="admin" kanidm/cli:latest kanidm user list

创建新用户

bash
docker run --rm -e KANIDM_URL="[***]" -e KANIDM_USER="admin" kanidm/cli:latest \
  kanidm user create "johndoe" \
  --name "John Doe" \
  --email "***" \
  --password "SecurePass123!"  # 密码需符合Kanidm密码策略

添加用户到组

bash
docker run --rm -e KANIDM_URL="[***]" -e KANIDM_USER="admin" kanidm/cli:latest \
  kanidm group add-member "developers" "johndoe"  # 将用户johndoe添加到developers组

验证用户凭据

bash
docker run --rm -e KANIDM_URL="[***]" kanidm/cli:latest \
  kanidm auth test "johndoe" "user-password"  # 测试用户johndoe的身份验证

5. 环境变量说明

6. 注意事项

• 敏感凭据（如密码）建议通过交互式输入，而非环境变量明文传递（可省略KANIDM_PASSWORD，容器会提示输入）。
• 首次使用需确保Kanidm服务已启动并可访问，CLI工具版本需与Kanidm服务版本兼容（建议使用相同版本号的镜像）。
• 批量操作或复杂脚本场景，建议结合docker run -it进入容器交互模式，或通过挂载本地脚本目录执行批量命令。