未分类

Python3: No module named ‘_tkinter’解决

2019-09-12更新: 参考: https://www.z1987.com/blog/detail/c1570f5604fbcee5020dd8a5fabf01d0 发现个更简单的做法:

yum install tkinter

1	yum install tkinter

On CentOS 7 and Python 3.4, the command is sudo yum install python34-tkinter

On Redhat 7.4 with Python 3.6, the command is sudo yum install rh-python36-python-tkinter

On CentOS 7 and Python 3.4, the command is sudo yum install python34-tkinter

On Redhat 7.4 with Python 3.6, the command is sudo yum install rh-python36-python-tkinter

我的是Python7.6, 故安装:

yum install python36-tkinter

1	yum install python36-tkinter

旧: 在实验用networkx画图时, 在执行如下命令时报错:

In [1]: import tkinter
---------------------------------------------------------------------------
ModuleNotFoundError                       Traceback (most recent call last)
<ipython-input-1-29b37e014535> in <module>()
----> 1 import tkinter

/usr/local/python3.7/lib/python3.7/tkinter/__init__.py in <module>()
     34 import sys
     35 
---> 36 import _tkinter # If this fails your Python may not be configured for Tk
     37 TclError = _tkinter.TclError
     38 from tkinter.constants import *

ModuleNotFoundError: No module named '_tkinter'

In [1]: import tkinter

---------------------------------------------------------------------------

ModuleNotFoundError Traceback (most recent call last)

<ipython-input-1-29b37e014535> in <module>()

----> 1 import tkinter

/usr/local/python3.7/lib/python3.7/tkinter/__init__.py in <module>()

34 import sys

---> 36 import _tkinter # If this fails your Python may not be configured for Tk

37 TclError = _tkinter.TclError

38 from tkinter.constants import *

ModuleNotFoundError: No module named '_tkinter'

环境介绍 centos: 7.6.1810 Python: 3.7.4 基于virutalenv来切换不同的Python环境什么是tkinter， tcl ,tk The tkinter package (“Tk interface”) is the standard Python interface to the Tk GUI toolkit. Both Tk and tkinter are available on most Unix platforms, as well Read more…

By sean, 6 years07/12/2019 ago

未分类

Nginx配置文件nginx.conf中文详解

######Nginx配置文件nginx.conf中文详解#####

#定义Nginx运行的用户和用户组
user www www;

#nginx进程数，建议设置为等于CPU总核心数。
worker_processes 8;
 
#全局错误日志定义类型，[ debug | info | notice | warn | error | crit ]
error_log /usr/local/nginx/logs/error.log info;

#进程pid文件
pid /usr/local/nginx/logs/nginx.pid;

#指定进程可以打开的最大描述符：数目
#工作模式与连接数上限
#这个指令是指当一个nginx进程打开的最多文件描述符数目，理论值应该是最多打开文件数（ulimit -n）与nginx进程数相除，
#但是nginx分配请求并不是那么均匀，所以最好与ulimit -n 的值保持一致。
#现在在linux 2.6内核下开启文件打开数为65535，worker_rlimit_nofile就相应应该填写65535。
#这是因为nginx调度时分配请求到进程并不是那么的均衡，所以假如填写10240，总并发量达到3-4万时就有进程可能超过10240了，这时会返回502错误。
worker_rlimit_nofile 65535;


events
{
    #参考事件模型，use [ kqueue | rtsig | epoll | /dev/poll | select | poll ]; epoll模型
    #是Linux 2.6以上版本内核中的高性能网络I/O模型，linux建议epoll，如果跑在FreeBSD上面，就用kqueue模型。
    #补充说明：
    #与apache相类，nginx针对不同的操作系统，有不同的事件模型
    #A）标准事件模型
    #Select、poll属于标准事件模型，如果当前系统不存在更有效的方法，nginx会选择select或poll
    #B）高效事件模型
    #Kqueue：使用于FreeBSD 4.1+, OpenBSD 2.9+, NetBSD 2.0 和 MacOS X.使用双处理器的MacOS X系统使用kqueue可能会造成内核崩溃。
    #Epoll：使用于Linux内核2.6版本及以后的系统。
    #/dev/poll：使用于Solaris 7 11/99+，HP/UX 11.22+ (eventport)，IRIX 6.5.15+ 和 Tru64 UNIX 5.1A+。
    #Eventport：使用于Solaris 10。 为了防止出现内核崩溃的问题， 有必要安装安全补丁。
    use epoll;

    #单个进程最大连接数（最大连接数=连接数*进程数）
    #根据硬件调整，和前面工作进程配合起来用，尽量大，但是别把cpu跑到100%就行。每个进程允许的最多连接数，理论上每台nginx服务器的最大连接数为。
    worker_connections 65535;

    #keepalive超时时间。
    keepalive_timeout 60;

    #客户端请求头部的缓冲区大小。这个可以根据你的系统分页大小来设置，一般一个请求头的大小不会超过1k，不过由于一般系统分页都要大于1k，所以这里设置为分页大小。
    #分页大小可以用命令getconf PAGESIZE 取得。
    #[root@web001 ~]# getconf PAGESIZE
    #4096
    #但也有client_header_buffer_size超过4k的情况，但是client_header_buffer_size该值必须设置为“系统分页大小”的整倍数。
    client_header_buffer_size 4k;

    #这个将为打开文件指定缓存，默认是没有启用的，max指定缓存数量，建议和打开文件数一致，inactive是指经过多长时间文件没被请求后删除缓存。
    open_file_cache max=65535 inactive=60s;

    #这个是指多长时间检查一次缓存的有效信息。
    #语法:open_file_cache_valid time 默认值:open_file_cache_valid 60 使用字段:http, server, location 
    #这个指令指定了何时需要检查open_file_cache中缓存项目的有效信息.
    open_file_cache_valid 80s;

    #open_file_cache指令中的inactive参数时间内文件的最少使用次数，如果超过这个数字，文件描述符一直是在缓存中打开的，
    #如上例，如果有一个文件在inactive时间内一次没被使用，它将被移除。
    #语法:open_file_cache_min_uses number 默认值:open_file_cache_min_uses 1 使用字段:http, server, location  
    #这个指令指定了在open_file_cache指令无效的参数中一定的时间范
    #围内可以使用的最小文件数,如果使用更大的值,文件描述符在cache中总是打开状态.
    open_file_cache_min_uses 1;
    
    #语法:open_file_cache_errors on | off 默认值:open_file_cache_errors off 使用字段:http, server, location 这个指令指定是否在搜索一个文件是记录cache错误.
    open_file_cache_errors on;
}
 
 
 
#设定http服务器，利用它的反向代理功能提供负载均衡支持
http
{
    #文件扩展名与文件类型映射表
    include mime.types;

    #默认文件类型
    default_type application/octet-stream;

    #默认编码
    #charset utf-8;

    #服务器名字的hash表大小
    #保存服务器名字的hash表是由指令server_names_hash_max_size 和server_names_hash_bucket_size所控制的。
    #参数hash bucket size总是等于hash表的大小，并且是一路处理器缓存大小的倍数。
    #在减少了在内存中的存取次数后，使在处理器中加速查找hash表键值成为可能。如果hash bucket size等于一路处理器缓存的大小，
    #那么在查找键的时候，最坏的情况下在内存中查找的次数为2。
    #第一次是确定存储单元的地址，第二次是在存储单元中查找键 值。因此，如果Nginx给出需要增大hash max size 或 hash bucket size的提示，
    #那么首要的是增大前一个参数的大小.
    server_names_hash_bucket_size 128;

    #客户端请求头部的缓冲区大小。这个可以根据你的系统分页大小来设置，一般一个请求的头部大小不会超过1k，不过由于一般系统分页都要大于1k，
    #所以这里设置为分页大小。分页大小可以用命令getconf PAGESIZE取得。
    client_header_buffer_size 32k;

    #客户请求头缓冲大小。nginx默认会用client_header_buffer_size这个buffer来读取header值，如果header过大，它会使用large_client_header_buffers来读取。
    large_client_header_buffers 4 64k;

    #设定通过nginx上传文件的大小
    client_max_body_size 8m;

    #开启高效文件传输模式，sendfile指令指定nginx是否调用sendfile函数来输出文件，对于普通应用设为 on，如果用来进行下载等应用磁盘IO重负载应用，
    #可设置为off，以平衡磁盘与网络I/O处理速度，降低系统的负载。注意：如果图片显示不正常把这个改成off。
    #sendfile指令指定 nginx 是否调用sendfile 函数（zero copy 方式）来输出文件，对于普通应用，必须设为on。如果用来进行下载等应用磁盘IO重负载应用，
    #可设置为off，以平衡磁盘与网络IO处理速度，降低系统uptime。
    sendfile on;

    #开启目录列表访问，合适下载服务器，默认关闭。
    autoindex on;

    #此选项允许或禁止使用socke的TCP_CORK的选项，此选项仅在使用sendfile的时候使用
    tcp_nopush on;
     
    tcp_nodelay on;

    #长连接超时时间，单位是秒
    keepalive_timeout 120;

    #FastCGI相关参数是为了改善网站的性能：减少资源占用，提高访问速度。下面参数看字面意思都能理解。
    fastcgi_connect_timeout 300;
    fastcgi_send_timeout 300;
    fastcgi_read_timeout 300;
    fastcgi_buffer_size 64k;
    fastcgi_buffers 4 64k;
    fastcgi_busy_buffers_size 128k;
    fastcgi_temp_file_write_size 128k;

    #gzip模块设置
    gzip on; #开启gzip压缩输出
    gzip_min_length 1k;    #最小压缩文件大小
    gzip_buffers 4 16k;    #压缩缓冲区
    gzip_http_version 1.0;    #压缩版本（默认1.1，前端如果是squid2.5请使用1.0）
    gzip_comp_level 2;    #压缩等级
    gzip_types text/plain application/x-javascript text/css application/xml;    #压缩类型，默认就已经包含textml，
    #所以下面就不用再写了，写上去也不会有问题，但是会有一个warn。
    gzip_vary on;

    #开启限制IP连接数的时候需要使用
    #limit_zone crawler $binary_remote_addr 10m;



    #负载均衡配置
    upstream xxx.com {
     
        #upstream的负载均衡，weight是权重，可以根据机器配置定义权重。weigth参数表示权值，权值越高被分配到的几率越大。
        server 192.168.80.121:80 weight=3;
        server 192.168.80.122:80 weight=2;
        server 192.168.80.123:80 weight=3;

        #nginx的upstream目前支持4种方式的分配
        #1、轮询（默认）
        #每个请求按时间顺序逐一分配到不同的后端服务器，如果后端服务器down掉，能自动剔除。
        #2、weight
        #指定轮询几率，weight和访问比率成正比，用于后端服务器性能不均的情况。
        #例如：
        #upstream bakend {
        #    server 192.168.0.14 weight=10;
        #    server 192.168.0.15 weight=10;
        #}
        #2、ip_hash
        #每个请求按访问ip的hash结果分配，这样每个访客固定访问一个后端服务器，可以解决session的问题。
        #例如：
        #upstream bakend {
        #    ip_hash;
        #    server 192.168.0.14:88;
        #    server 192.168.0.15:80;
        #}
        #3、fair（第三方）
        #按后端服务器的响应时间来分配请求，响应时间短的优先分配。
        #upstream backend {
        #    server server1;
        #    server server2;
        #    fair;
        #}
        #4、url_hash（第三方）
        #按访问url的hash结果来分配请求，使每个url定向到同一个后端服务器，后端服务器为缓存时比较有效。
        #例：在upstream中加入hash语句，server语句中不能写入weight等其他的参数，hash_method是使用的hash算法
        #upstream backend {
        #    server squid1:3128;
        #    server squid2:3128;
        #    hash $request_uri;
        #    hash_method crc32;
        #}

        #tips:
        #upstream bakend{#定义负载均衡设备的Ip及设备状态}{
        #    ip_hash;
        #    server 127.0.0.1:9090 down;
        #    server 127.0.0.1:8080 weight=2;
        #    server 127.0.0.1:6060;
        #    server 127.0.0.1:7070 backup;
        #}
        #在需要使用负载均衡的server中增加 proxy_pass http://bakend/;

        #每个设备的状态设置为:
        #1.down表示单前的server暂时不参与负载
        #2.weight为weight越大，负载的权重就越大。
        #3.max_fails：允许请求失败的次数默认为1.当超过最大次数时，返回proxy_next_upstream模块定义的错误
        #4.fail_timeout:max_fails次失败后，暂停的时间。
        #5.backup： 其它所有的非backup机器down或者忙的时候，请求backup机器。所以这台机器压力会最轻。

        #nginx支持同时设置多组的负载均衡，用来给不用的server来使用。
        #client_body_in_file_only设置为On 可以讲client post过来的数据记录到文件中用来做debug
        #client_body_temp_path设置记录文件的目录 可以设置最多3层目录
        #location对URL进行匹配.可以进行重定向或者进行新的代理 负载均衡
    }
     
     
     
    #虚拟主机的配置
    server
    {
        #监听端口
        listen 80;

        #域名可以有多个，用空格隔开
        server_name www.xxx.com xxx.com;
        index index.html index.htm index.php;
        root /data/www/xxx;

        #对******进行负载均衡
        location ~ .*.(php|php5)?$
        {
            fastcgi_pass 127.0.0.1:9000;
            fastcgi_index index.php;
            include fastcgi.conf;
        }
         
        #图片缓存时间设置
        location ~ .*.(gif|jpg|jpeg|png|bmp|swf)$
        {
            expires 10d;
        }
         
        #JS和CSS缓存时间设置
        location ~ .*.(js|css)?$
        {
            expires 1h;
        }
         
        #日志格式设定
        #$remote_addr与$http_x_forwarded_for用以记录客户端的ip地址；
        #如果Nginx服务器作为Web服务器，位于负载均衡设备、Squid反向代理的之后，就不能获取到客户端的真实IP地址了。原因是经过反向代理后，
        #由于在客户端和Web服务器之间增加了中间层，因此Web服务器无法直接拿到客户端的IP，通过remote_addr变量拿到的将是反向代理服务器的IP地址。
        #但是，反向代理服务器在转发请求的HTTP头信息中，可以增加X-Forwarded-For信息，用以记录原有的客户端IP地址和原来客户端请求的服务器地址。
        #这个时候要用log_format指令来设置日志格式，让日志记录X-Forwarded-For信息中的IP地址，即客户的真实IP
        #
        #$remote_user：用来记录客户端用户名称；
        #$time_local： 用来记录访问时间与时区；
        #$request： 用来记录请求的url与http协议；
        #$status： 用来记录请求状态；成功是200，
        #$body_bytes_sent ：记录发送给客户端文件主体内容大小；
        #$http_referer：用来记录从那个页面链接访问过来的；
        #$http_user_agent：记录客户浏览器的相关信息；
        #通常web服务器放在反向代理的后面，这样就不能获取到客户的IP地址了，通过$remote_add拿到的IP地址是反向代理服务器的iP地址。
        #反向代理服务器在转发请求的http头信息中，可以增加x_forwarded_for信息，用以记录原有客户端的IP地址和原来客户端的请求的服务器地址。

        log_format access '$remote_addr - $remote_user [$time_local] "$request" '
        '$status $body_bytes_sent "$http_referer" '
        '"$http_user_agent" $http_x_forwarded_for';
        #我们的生产环境日志格式:
        #log_format main '$remote_addr|$remote_user|[$time_local]|"$request"|'
        #              '$status|$body_bytes_sent|$http_host|"$http_referer"|'
        #              '"$http_user_agent"|$http_x_forwarded_for|$upstream_cache_status|'
        #              '"$upstream_http_content_type"|$request_time|$upstream_response_time|$bytes_sent|$request_length|'
        #              '"$upstream_addr"$http_x_traceid';
         
        #定义本虚拟主机的访问日志
        access_log  /usr/local/nginx/logs/host.access.log  main;
        access_log  /usr/local/nginx/logs/host.access.404.log  log404;
         
        #对 "/" 启用反向代理
        location / {
            proxy_pass http://127.0.0.1:88;
            proxy_redirect off;
            proxy_set_header X-Real-IP $remote_addr;
             
            #后端的Web服务器可以通过X-Forwarded-For获取用户真实IP
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
             
            #以下是一些反向代理的配置，可选。
            proxy_set_header Host $host;

            #允许客户端请求的最大单文件字节数
            client_max_body_size 10m;

            #缓冲区代理缓冲用户端请求的最大字节数，
            #如果把它设置为比较大的数值，例如256k，那么，无论使用firefox还是IE浏览器，来提交任意小于256k的图片，都很正常。如果注释该指令，
            #使用默认的client_body_buffer_size设置，也就是操作系统页面大小的两倍，8k或者16k，问题就出现了。
            #无论使用firefox4.0还是IE8.0，提交一个比较大，200k左右的图片，都返回500 Internal Server Error错误
            client_body_buffer_size 128k;

            #表示使nginx阻止HTTP应答代码为400或者更高的应答。
            proxy_intercept_errors on;

            #后端服务器连接的超时时间_发起握手等候响应超时时间
            #nginx跟后端服务器连接超时时间(代理连接超时)
            proxy_connect_timeout 90;

            #后端服务器数据回传时间(代理发送超时)
            #后端服务器数据回传时间_就是在规定时间之内后端服务器必须传完所有的数据
            proxy_send_timeout 90;

            #连接成功后，后端服务器响应时间(代理接收超时)
            #连接成功后_等候后端服务器响应时间_其实已经进入后端的排队之中等候处理（也可以说是后端服务器处理请求的时间）
            proxy_read_timeout 90;

            #设置代理服务器（nginx）保存用户头信息的缓冲区大小
            #设置从被代理服务器读取的第一部分应答的缓冲区大小，通常情况下这部分应答中包含一个小的应答头，
            #默认情况下这个值的大小为指令proxy_buffers中指定的一个缓冲区的大小，不过可以将其设置为更小
            proxy_buffer_size 4k;

            #proxy_buffers缓冲区，网页平均在32k以下的设置
            #设置用于读取应答（来自被代理服务器）的缓冲区数目和大小，默认情况也为分页大小，根据操作系统的不同可能是4k或者8k
            proxy_buffers 4 32k;

            #高负荷下缓冲大小（proxy_buffers*2）
            proxy_busy_buffers_size 64k;

            #设置在写入proxy_temp_path时数据的大小，预防一个工作进程在传递文件时阻塞太长
            #设定缓存文件夹大小，大于这个值，将从upstream服务器传
            proxy_temp_file_write_size 64k;
        }
         
         
        #设定查看Nginx状态的地址
        location /NginxStatus {
            stub_status on;
            access_log on;
            auth_basic "NginxStatus";
            auth_basic_user_file confpasswd;
            #htpasswd文件的内容可以用apache提供的htpasswd工具来产生。
        }
         
        #本地动静分离反向代理配置
        #所有jsp的页面均交由tomcat或resin处理
        location ~ .(jsp|jspx|do)?$ {
            proxy_set_header Host $host;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_pass http://127.0.0.1:8080;
        }
         
        #所有静态文件由nginx直接读取不经过tomcat或resin
        location ~ .*.(htm|html|gif|jpg|jpeg|png|bmp|swf|ioc|rar|zip|txt|flv|mid|doc|ppt|
        pdf|xls|mp3|wma)$
        {
            expires 15d; 
        }
         
        location ~ .*.(js|css)?$
        {
            expires 1h;
        }
    }
}
######Nginx配置文件nginx.conf中文详解#####

100

101

102

103

104

105

106

107

108

109

110

111

112

113

114

115

116

117

118

119

120

121

122

123

124

125

126

127

128

129

130

131

132

133

134

135

136

137

138

139

140

141

142

143

144

145

146

147

148

149

150

151

152

153

154

155

156

157

158

159

160

161

162

163

164

165

166

167

168

169

170

171

172

173

174

175

176

177

178

179

180

181

182

183

184

185

186

187

188

189

190

191

192

193

194

195

196

197

198

199

200

201

202

203

204

205

206

207

208

209

210

211

212

213

214

215

216

217

218

219

220

221

222

223

224

225

226

227

228

229

230

231

232

233

234

235

236

237

238

239

240

241

242

243

244

245

246

247

248

249

250

251

252

253

254

255

256

257

258

259

260

261

262

263

264

265

266

267

268

269

270

271

272

273

274

275

276

277

278

279

280

281

282

283

284

285

286

287

288

289

290

291

292

293

294

295

296

297

298

299

300

301

302

303

304

305

306

307

308

309

310

311

312

313

314

315

316

317

318

319

320

321

322

323

324

325

326

327

328

329

330

331

332

333

334

335

336

337

338

339

340

341

342

343

344

345

346

347

348

349

350

351

352

353

354

355

356

357

358

359

360

361

######Nginx配置文件nginx.conf中文详解#####

#定义Nginx运行的用户和用户组

user www www;

#nginx进程数，建议设置为等于CPU总核心数。

worker_processes 8;

error_log /usr/local/nginx/logs/error.log info;

#进程pid文件

pid /usr/local/nginx/logs/nginx.pid;

#指定进程可以打开的最大描述符：数目

#工作模式与连接数上限

#这个指令是指当一个nginx进程打开的最多文件描述符数目，理论值应该是最多打开文件数（ulimit -n）与nginx进程数相除，

#但是nginx分配请求并不是那么均匀，所以最好与ulimit -n 的值保持一致。

#现在在linux 2.6内核下开启文件打开数为65535，worker_rlimit_nofile就相应应该填写65535。

#这是因为nginx调度时分配请求到进程并不是那么的均衡，所以假如填写10240，总并发量达到3-4万时就有进程可能超过10240了，这时会返回502错误。

worker_rlimit_nofile 65535;

events

{

#是Linux 2.6以上版本内核中的高性能网络I/O模型，linux建议epoll，如果跑在FreeBSD上面，就用kqueue模型。

#补充说明：

#与apache相类，nginx针对不同的操作系统，有不同的事件模型

#A）标准事件模型

#Select、poll属于标准事件模型，如果当前系统不存在更有效的方法，nginx会选择select或poll

#B）高效事件模型

#Kqueue：使用于FreeBSD 4.1+, OpenBSD 2.9+, NetBSD 2.0 和 MacOS X.使用双处理器的MacOS X系统使用kqueue可能会造成内核崩溃。

#Epoll：使用于Linux内核2.6版本及以后的系统。

#/dev/poll：使用于Solaris 7 11/99+，HP/UX 11.22+ (eventport)，IRIX 6.5.15+ 和 Tru64 UNIX 5.1A+。

#Eventport：使用于Solaris 10。为了防止出现内核崩溃的问题，有必要安装安全补丁。

use epoll;

#单个进程最大连接数（最大连接数=连接数*进程数）

#根据硬件调整，和前面工作进程配合起来用，尽量大，但是别把cpu跑到100%就行。每个进程允许的最多连接数，理论上每台nginx服务器的最大连接数为。

worker_connections 65535;

#keepalive超时时间。

keepalive_timeout 60;

#客户端请求头部的缓冲区大小。这个可以根据你的系统分页大小来设置，一般一个请求头的大小不会超过1k，不过由于一般系统分页都要大于1k，所以这里设置为分页大小。

#分页大小可以用命令getconf PAGESIZE 取得。

#[root@web001 ~]# getconf PAGESIZE

#4096

#但也有client_header_buffer_size超过4k的情况，但是client_header_buffer_size该值必须设置为“系统分页大小”的整倍数。

client_header_buffer_size 4k;

#这个将为打开文件指定缓存，默认是没有启用的，max指定缓存数量，建议和打开文件数一致，inactive是指经过多长时间文件没被请求后删除缓存。

open_file_cache max=65535 inactive=60s;

#这个是指多长时间检查一次缓存的有效信息。

#语法:open_file_cache_valid time 默认值:open_file_cache_valid 60 使用字段:http, server, location

#这个指令指定了何时需要检查open_file_cache中缓存项目的有效信息.

open_file_cache_valid 80s;

#open_file_cache指令中的inactive参数时间内文件的最少使用次数，如果超过这个数字，文件描述符一直是在缓存中打开的，

#如上例，如果有一个文件在inactive时间内一次没被使用，它将被移除。

#语法:open_file_cache_min_uses number 默认值:open_file_cache_min_uses 1 使用字段:http, server, location

#这个指令指定了在open_file_cache指令无效的参数中一定的时间范

#围内可以使用的最小文件数,如果使用更大的值,文件描述符在cache中总是打开状态.

open_file_cache_min_uses 1;

#语法:open_file_cache_errors on | off 默认值:open_file_cache_errors off 使用字段:http, server, location 这个指令指定是否在搜索一个文件是记录cache错误.

open_file_cache_errors on;

}

#设定http服务器，利用它的反向代理功能提供负载均衡支持

http

{

#文件扩展名与文件类型映射表

include mime.types;

#默认文件类型

default_type application/octet-stream;

#默认编码

#charset utf-8;

#服务器名字的hash表大小

#保存服务器名字的hash表是由指令server_names_hash_max_size 和server_names_hash_bucket_size所控制的。

#参数hash bucket size总是等于hash表的大小，并且是一路处理器缓存大小的倍数。

#在减少了在内存中的存取次数后，使在处理器中加速查找hash表键值成为可能。如果hash bucket size等于一路处理器缓存的大小，

#那么在查找键的时候，最坏的情况下在内存中查找的次数为2。

#第一次是确定存储单元的地址，第二次是在存储单元中查找键值。因此，如果Nginx给出需要增大hash max size 或 hash bucket size的提示，

#那么首要的是增大前一个参数的大小.

server_names_hash_bucket_size 128;

#客户端请求头部的缓冲区大小。这个可以根据你的系统分页大小来设置，一般一个请求的头部大小不会超过1k，不过由于一般系统分页都要大于1k，

#所以这里设置为分页大小。分页大小可以用命令getconf PAGESIZE取得。

client_header_buffer_size 32k;

#客户请求头缓冲大小。nginx默认会用client_header_buffer_size这个buffer来读取header值，如果header过大，它会使用large_client_header_buffers来读取。

large_client_header_buffers 4 64k;

#设定通过nginx上传文件的大小

client_max_body_size 8m;

#开启高效文件传输模式，sendfile指令指定nginx是否调用sendfile函数来输出文件，对于普通应用设为 on，如果用来进行下载等应用磁盘IO重负载应用，

#可设置为off，以平衡磁盘与网络I/O处理速度，降低系统的负载。注意：如果图片显示不正常把这个改成off。

#sendfile指令指定 nginx 是否调用sendfile 函数（zero copy 方式）来输出文件，对于普通应用，必须设为on。如果用来进行下载等应用磁盘IO重负载应用，

#可设置为off，以平衡磁盘与网络IO处理速度，降低系统uptime。

sendfile on;

#开启目录列表访问，合适下载服务器，默认关闭。

autoindex on;

#此选项允许或禁止使用socke的TCP_CORK的选项，此选项仅在使用sendfile的时候使用

tcp_nopush on;

tcp_nodelay on;

#长连接超时时间，单位是秒

keepalive_timeout 120;

#FastCGI相关参数是为了改善网站的性能：减少资源占用，提高访问速度。下面参数看字面意思都能理解。

fastcgi_connect_timeout 300;

fastcgi_send_timeout 300;

fastcgi_read_timeout 300;

fastcgi_buffer_size 64k;

fastcgi_buffers 4 64k;

fastcgi_busy_buffers_size 128k;

fastcgi_temp_file_write_size 128k;

#gzip模块设置

gzip on; #开启gzip压缩输出

gzip_min_length 1k; #最小压缩文件大小

gzip_buffers 4 16k; #压缩缓冲区

gzip_http_version 1.0; #压缩版本（默认1.1，前端如果是squid2.5请使用1.0）

gzip_comp_level 2; #压缩等级

gzip_types text/plain application/x-javascript text/css application/xml; #压缩类型，默认就已经包含textml，

#所以下面就不用再写了，写上去也不会有问题，但是会有一个warn。

gzip_vary on;

#开启限制IP连接数的时候需要使用

#limit_zone crawler $binary_remote_addr 10m;

#负载均衡配置

upstream xxx.com {

#upstream的负载均衡，weight是权重，可以根据机器配置定义权重。weigth参数表示权值，权值越高被分配到的几率越大。

server 192.168.80.121:80 weight=3;

server 192.168.80.122:80 weight=2;

server 192.168.80.123:80 weight=3;

#nginx的upstream目前支持4种方式的分配

#1、轮询（默认）

#每个请求按时间顺序逐一分配到不同的后端服务器，如果后端服务器down掉，能自动剔除。

#2、weight

#指定轮询几率，weight和访问比率成正比，用于后端服务器性能不均的情况。

#例如：

#upstream bakend {

# server 192.168.0.14 weight=10;

# server 192.168.0.15 weight=10;

#2、ip_hash

#每个请求按访问ip的hash结果分配，这样每个访客固定访问一个后端服务器，可以解决session的问题。

#例如：

#upstream bakend {

# ip_hash;

# server 192.168.0.14:88;

# server 192.168.0.15:80;

#3、fair（第三方）

#按后端服务器的响应时间来分配请求，响应时间短的优先分配。

#upstream backend {

# server server1;

# server server2;

# fair;

#4、url_hash（第三方）

#按访问url的hash结果来分配请求，使每个url定向到同一个后端服务器，后端服务器为缓存时比较有效。

#例：在upstream中加入hash语句，server语句中不能写入weight等其他的参数，hash_method是使用的hash算法

#upstream backend {

# server squid1:3128;

# server squid2:3128;

# hash $request_uri;

# hash_method crc32;

#tips:

#upstream bakend{#定义负载均衡设备的Ip及设备状态}{

# ip_hash;

# server 127.0.0.1:9090 down;

# server 127.0.0.1:8080 weight=2;

# server 127.0.0.1:6060;

# server 127.0.0.1:7070 backup;

#在需要使用负载均衡的server中增加 proxy_pass http://bakend/;

#每个设备的状态设置为:

#1.down表示单前的server暂时不参与负载

#2.weight为weight越大，负载的权重就越大。

#3.max_fails：允许请求失败的次数默认为1.当超过最大次数时，返回proxy_next_upstream模块定义的错误

#4.fail_timeout:max_fails次失败后，暂停的时间。

#5.backup：其它所有的非backup机器down或者忙的时候，请求backup机器。所以这台机器压力会最轻。

#nginx支持同时设置多组的负载均衡，用来给不用的server来使用。

#client_body_in_file_only设置为On 可以讲client post过来的数据记录到文件中用来做debug

#client_body_temp_path设置记录文件的目录可以设置最多3层目录

#location对URL进行匹配.可以进行重定向或者进行新的代理负载均衡

}

#虚拟主机的配置

server

{

#监听端口

listen 80;

#域名可以有多个，用空格隔开

server_name www.xxx.com xxx.com;

index index.html index.htm index.php;

root /data/www/xxx;

#对******进行负载均衡

location ~ .*.(php|php5)?$

{

fastcgi_pass 127.0.0.1:9000;

fastcgi_index index.php;

include fastcgi.conf;

}

#图片缓存时间设置

location ~ .*.(gif|jpg|jpeg|png|bmp|swf)$

{

expires 10d;

}

#JS和CSS缓存时间设置

location ~ .*.(js|css)?$

{

expires 1h;

}

#日志格式设定

#$remote_addr与$http_x_forwarded_for用以记录客户端的ip地址；

#如果Nginx服务器作为Web服务器，位于负载均衡设备、Squid反向代理的之后，就不能获取到客户端的真实IP地址了。原因是经过反向代理后，

#由于在客户端和Web服务器之间增加了中间层，因此Web服务器无法直接拿到客户端的IP，通过remote_addr变量拿到的将是反向代理服务器的IP地址。

#但是，反向代理服务器在转发请求的HTTP头信息中，可以增加X-Forwarded-For信息，用以记录原有的客户端IP地址和原来客户端请求的服务器地址。

#这个时候要用log_format指令来设置日志格式，让日志记录X-Forwarded-For信息中的IP地址，即客户的真实IP

#$remote_user：用来记录客户端用户名称；

#$time_local：用来记录访问时间与时区；

#$request：用来记录请求的url与http协议；

#$status：用来记录请求状态；成功是200，

#$body_bytes_sent ：记录发送给客户端文件主体内容大小；

#$http_referer：用来记录从那个页面链接访问过来的；

#$http_user_agent：记录客户浏览器的相关信息；

#通常web服务器放在反向代理的后面，这样就不能获取到客户的IP地址了，通过$remote_add拿到的IP地址是反向代理服务器的iP地址。

#反向代理服务器在转发请求的http头信息中，可以增加x_forwarded_for信息，用以记录原有客户端的IP地址和原来客户端的请求的服务器地址。

log_format access '$remote_addr - $remote_user [$time_local] "$request" '

'$status $body_bytes_sent "$http_referer" '

'"$http_user_agent" $http_x_forwarded_for';

#我们的生产环境日志格式:

#log_format main '$remote_addr|$remote_user|[$time_local]|"$request"|'

# '$status|$body_bytes_sent|$http_host|"$http_referer"|'

# '"$http_user_agent"|$http_x_forwarded_for|$upstream_cache_status|'

# '"$upstream_addr"$http_x_traceid';

#定义本虚拟主机的访问日志

access_log /usr/local/nginx/logs/host.access.log main;

access_log /usr/local/nginx/logs/host.access.404.log log404;

#对 "/" 启用反向代理

location / {

proxy_pass http://127.0.0.1:88;

proxy_redirect off;

proxy_set_header X-Real-IP $remote_addr;

#后端的Web服务器可以通过X-Forwarded-For获取用户真实IP

proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

#以下是一些反向代理的配置，可选。

proxy_set_header Host $host;

#允许客户端请求的最大单文件字节数

client_max_body_size 10m;

#缓冲区代理缓冲用户端请求的最大字节数，

#如果把它设置为比较大的数值，例如256k，那么，无论使用firefox还是IE浏览器，来提交任意小于256k的图片，都很正常。如果注释该指令，

#使用默认的client_body_buffer_size设置，也就是操作系统页面大小的两倍，8k或者16k，问题就出现了。

#无论使用firefox4.0还是IE8.0，提交一个比较大，200k左右的图片，都返回500 Internal Server Error错误

client_body_buffer_size 128k;

#表示使nginx阻止HTTP应答代码为400或者更高的应答。

proxy_intercept_errors on;

#后端服务器连接的超时时间_发起握手等候响应超时时间

#nginx跟后端服务器连接超时时间(代理连接超时)

proxy_connect_timeout 90;

#后端服务器数据回传时间(代理发送超时)

#后端服务器数据回传时间_就是在规定时间之内后端服务器必须传完所有的数据

proxy_send_timeout 90;

#连接成功后，后端服务器响应时间(代理接收超时)

#连接成功后_等候后端服务器响应时间_其实已经进入后端的排队之中等候处理（也可以说是后端服务器处理请求的时间）

proxy_read_timeout 90;

#设置代理服务器（nginx）保存用户头信息的缓冲区大小

#设置从被代理服务器读取的第一部分应答的缓冲区大小，通常情况下这部分应答中包含一个小的应答头，

#默认情况下这个值的大小为指令proxy_buffers中指定的一个缓冲区的大小，不过可以将其设置为更小

proxy_buffer_size 4k;

#proxy_buffers缓冲区，网页平均在32k以下的设置

#设置用于读取应答（来自被代理服务器）的缓冲区数目和大小，默认情况也为分页大小，根据操作系统的不同可能是4k或者8k

proxy_buffers 4 32k;

#高负荷下缓冲大小（proxy_buffers*2）

proxy_busy_buffers_size 64k;

#设置在写入proxy_temp_path时数据的大小，预防一个工作进程在传递文件时阻塞太长

#设定缓存文件夹大小，大于这个值，将从upstream服务器传

proxy_temp_file_write_size 64k;

}

#设定查看Nginx状态的地址

location /NginxStatus {

stub_status on;

access_log on;

auth_basic "NginxStatus";

auth_basic_user_file confpasswd;

#htpasswd文件的内容可以用apache提供的htpasswd工具来产生。

}

#本地动静分离反向代理配置

#所有jsp的页面均交由tomcat或resin处理

location ~ .(jsp|jspx|do)?$ {

proxy_set_header Host $host;

proxy_set_header X-Real-IP $remote_addr;

proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

proxy_pass http://127.0.0.1:8080;

}

#所有静态文件由nginx直接读取不经过tomcat或resin

location ~ .*.(htm|html|gif|jpg|jpeg|png|bmp|swf|ioc|rar|zip|txt|flv|mid|doc|ppt|

pdf|xls|mp3|wma)$

{

expires 15d;

}

location ~ .*.(js|css)?$

{

expires 1h;

}

######Nginx配置文件nginx.conf中文详解#####

By sean, 6 years ago

未分类

Docker镜像存储结构与原理

Docker容器镜像存在哪儿，怎么存放? Docker容器在运行的过程中，只有小部分的数据可能需要写到容器可写层，因为大部分场景下，我们可以通过Docker volumes来写数据，但是某些场景下，就是需要往容器可写层写数据，这就是Docker存储驱动Storage Driver出现的原因，这些存储驱动必须是采用层堆叠以及copy-on-write策略。 Docker采用可插拔的方式支持一些不同的存储驱动，存储驱动控制了镜像和容器在宿主机上如何管理以及存储。如果系统内核支持多种存储驱动，在没有明确设置存储驱动时，Docker会根据优先级(btrfs,zfs,overlay2,aufs,overlay,devicemapper,vfs)顺序进行选择，排在前面的储存驱动并不总是会被Docker采用，因为有些存储驱动对文件系统或者内核有硬性要求。 Docker支持如下storage driver: overlay2 Docker优先采用的存储驱动，对于已支持该驱动的Linux发行版，不需要任何进行任何额外的配置。 aufs Docker 18.06以下版本运行在Ubuntu 14.04以及kernel 3.13上，不支持overlay2，首选aufs。 devicemapper 默认的配置模式是loopback-lvm，但是在生产环境时Docker不推荐这种模式，它的性能非常差，我们需要将其配置成direct-lvm。对于早期的CentOS和RHEL，devicemapper是推荐的存储驱动，因为它们对应的内核版本不支持overlay2，不过，我们现在版本的CentOS与RHEL均已支持overlay2。 btrfs and zfs Docker安装所在的宿主机文件系统是btrfs或者zfs，则Docker优先使用它们作为存储驱动，这些文件系统具有一些高级的选项配置，比如创建快照(snapshots)等。 vfs Docker不推荐用于生产环境，只用于测试，性能比较差，可能无法支持copy-on-write策略。注意一些存储驱动要求使用特殊版本的文件系统，比如aufs仅在Ubuntu或者Debian系统被支持, 并且需要安装一些额外的依赖包，而btrfs仅在SLES被支持。我们大多数人使用的应该都是Docker社区版本，下面列举了社区版Docker引擎在各Linux发行版中推荐的存储驱动。 Linux发行版推荐的存储驱动备选存储驱动 Ubuntu overlay2、 aufs(运行在内核3.13上的Ubuntu 14.04) overlay、devicemapper、 zfs、vfs Debian overlay2(Debian扩展版本)、 aufs、devicemapper(老版本) overlay、vfs CentOS overlay2 overlay、devicemapper、 zfs、vfs Fedora overlay2 overlay、devicemapper、 zfs、vfs Read more…

By sean, 6 years06/20/2019 ago

未分类

修改PAC文件及user-rule文件可实现自动代理

使用Shadowsocks打不开网站，修改PAC文件及user-rule文件可实现自动代理 Shadowsocks作为现在一种很流行的穿墙工具，以其轻量级、速度感人等优点深受广大网友热捧。与VP_N相比，他就像一把锋利的”瑞士军刀”，不用受制于“系统全局代理”模式的困扰，控制更加便捷，基于Socks5安全加密协议，防止GF*W通过分析流量特征从而干扰的问题。而又不像GoAgent这种集中式爬墙模式，一般不会出现全局封锁等现象。不管你是因为什么原因喜欢上Shadowsocks，我相信她一定有给你带来好的体验的方面。在Shadowsocks里面，系统代理模式有两种，一种是“全局模式”，另一种是“PAC模式”，通常情况下我们会选择PAC模式，今天这里给大家解析一下PAC模式的原理以及如何修改PAC文件、user-rule文件实现自动代理，希望大家可以通过本文更的“科学上网”。什么是PAC 代理自动配置（英语：Proxy auto-config，简称PAC）是一种网页浏览器技术，用于定义浏览器该如何自动选择适当的代理服务器来访问一个网址。一个PAC文件包含一个JavaScript形式的函数“FindProxyForURL(url, host)”。这个函数返回一个包含一个或多个访问规则的字符串。用户代理根据这些规则适用一个特定的代理其或者直接访问。当一个代理服务器无法响应的时候，多个访问规则提供了其他的后备访问方法。浏览器在访问其他页面以前，首先访问这个PAC文件。PAC文件中的URL可能是手工配置的，也可能是是通过网页的网络代理自发现协议（Web Proxy Autodiscovery Protocol）自动配置的。上面是从维基百科摘录的关于PAC的解释，我做了一个简单的图片解释什么是PAC：简单的讲，PAC就是一种配置，使用Shadowsock发送网址浏览请求时，通过PAC里面的的逻辑函数判断让你的浏览器智能的选择哪些网站走代理，哪些不需要走代理。用过Shadowsocks的朋友应该会知道， shadowsocks.exe 同级目录下有一个 pac.txt 文件，这正是我们本文刚刚所说的pac配置文件。打开 pac.txt 文件(建议使用Notepad软件打开，自带文本文档打开修改后可能无效)，可以看到如下内容：可以看到pac配置文件是用的JavaScript语法，里面有一个变量 rules ，是一个JSon数组格式的数据类型，数组里面存放的是各种URL的通配符，那么在pac模式下，如果当访问符合这个数组里面任意一个URL通配符的网址时，系统会走代理，反之直连。比如图中pac配置，如果访问 http://www.google.com 时，会走代理，而访问百度、新浪等国内网站则会选择直连方式。 PAC的优势 PAC自动代理属于智能判断模式，相比全局代理，它的优点有：不影响国内网站的访问速度，防止无意义的绕路节省Shadowsocks服务的流量，节省服务器资源控制方便 PAC文件及user-rule文件的语法规则在使用Shadowsocks时，发现无法访问自己想浏览的网站了，这时候需要我们手动添加网址到PAC文件里实现翻墙浏览。在Shadowsocks根目录里面有pac.txt文件和user-rule.txt两个文件，添加到这两个任何中的一个文件里面都可以实现翻墙浏览。如何添加请看下面： 1. 添加到 pac.txt 文件中编辑 pac.txt 文件，模仿里面的一些URL通配符，再添加一个，例如”||ip138.com”, ，注意不要忘记了 , 半角逗号，那么意思就是所有 ip138.com域名下的网址都将走Shadowsocks代理，打开ip138可以看到IP已经变成Shadowsocks所用的国外代理了。 2. 添加到 user-rule.txt 文件中编辑 user-rule.txt 文件，这里和 pac.txt 文件语法不完全相同，user-rule文件中，每一行表示一个URL通配符，但是通配符语法类似。例如添加一行||ip138.com^ ，然后记得右键小飞机-PAC-从GFWList更新本地PAC，打开ip138可以看到IP已经变成Shadowsocks所用的国外代理了。注意末尾不要忘记 ^ 符号，意思是要么在这个符号的地方结束，要么后面跟着?,/等符号。自定义代理规则的设置语法与GFWlist相同，语法规则如下：通配符支持。比如 *.example.com/* 实际书写时可省略 * ，如.example.com/ ，和 *.example.com/* 效果一样正则表达式支持。以 \ 开始和结束，如 \[\w]+:\/\/example.com\ 例外规则 @@ ，如 @@*.example.com/* 满足 @@ 后规则的地址不使用代理匹配地址开始和结尾 | ，如 |http://example.com 、 example.com| 分别表示以 http://example.com 开始和以 example.com 结束的地址 || 标记，如 ||example.com 则 http://example.com 、https://example.com 、 ftp://example.com 等地址均满足条件注释 ! 。如 !我是注释更多user-rule.txt语法规则，可以参考AdBlockPlus过滤规则https://adblockplus.org/en/filter-cheatsheet 备注：建议直接使用方法2，在user-rule.txt文件里面添加。因为Pac.txt文件可能会因为更新的问题把原先添加进去的网址给覆盖掉。

By sean, 6 years ago

未分类

shell中，使用sed 替换单引号和双引号的几种写法

在shell中，使用sed进行替换的时候，因为替换命令本身就是在引号中的，所以书写的时候，就需要注意书写的格式，这里总结几种写法。最简单的是 echo “this is”’ test\” string” | sed $’s/\’//g’

# shell中使用sed替换单引号
echo "this is''' test\" string" | sed $'s/\'//g'
this is test" string

# shell中使用sed替换双引号
echo "this is''' test\" string" | sed $'s/\"//g'
this is''' test string

# shell中使用sed替换双引号和单引号
echo "this is''' test\" string" | sed "s/[\'\"]//g"
this is test string

# shell中使用sed替换双引号和单引号
echo "this is''' test\" string" | sed "s/[\x27\x22]//g"
this is test string

# shell中使用sed替换双引号和单引号
echo "this is''' test\" string" | sed $'s/[\'\"]//g'
this is test string

# shell中使用sed替换单引号

echo "this is''' test\" string" | sed $'s/\'//g'

this is test" string

# shell中使用sed替换双引号

echo "this is''' test\" string" | sed $'s/\"//g'

this is''' test string

# shell中使用sed替换双引号和单引号

echo "this is''' test\" string" | sed "s/[\'\"]//g"

this is test string

# shell中使用sed替换双引号和单引号

echo "this is''' test\" string" | sed "s/[\x27\x22]//g"

this is test string

# shell中使用sed替换双引号和单引号

echo "this is''' test\" string" | sed $'s/[\'\"]//g'

this is test string

By sean, 6 years ago

未分类

hexo博客开机自启动

vps机器重启后, hexo博客502了, 发现没有做开机自启动. npm用pm2做托管: 创建hexo-backrun.js:

[sean@rainingwalk hexo_run ]$ cat hexo-backrun.js
var spawn = require('child_process').spawn;

/* 其实就是等于执行hexo server --draft*/
free = spawn('hexo', ['server', '--draft']);
free.stdout.on('data', function (data) {
  console.log('standard output:\n' + data);
});

free.stderr.on('data', function (data) {
  console.log('standard error output:\n' + data);
});

free.on('exit', function (code, signal) {
  console.log('child process eixt ,exit:' + code);
});

[sean@rainingwalk hexo_run ]$ cat hexo-backrun.js

var spawn = require('child_process').spawn;

/* 其实就是等于执行hexo server --draft*/

free = spawn('hexo', ['server', '--draft']);

free.stdout.on('data', function (data) {

console.log('standard output:\n' + data);

});

free.stderr.on('data', function (data) {

console.log('standard error output:\n' + data);

});

free.on('exit', function (code, signal) {

console.log('child process eixt ,exit:' + code);

});

创建pm2-config.json:

[sean@rainingwalk hexo_run ]$ cat pm2-config.json
{
    "apps" : [{
        "name"        : "blog",
        "script"      : "./hexo-backrun.js"
    }]
}

[sean@rainingwalk hexo_run ]$ cat pm2-config.json

{

"apps" : [{

"name" : "blog",

"script" : "./hexo-backrun.js"

}]

}

创建hexo.service:

[sean@rainingwalk hexo_run ]$ cat /usr/lib/systemd/system/hexo.service
[Unit]
Description=PM2 process manager
Documentation=https://pm2.keymetrics.io/
After=network.target

[Service]
User=sean
LimitNOFILE=infinity
LimitNPROC=infinity
LimitCORE=infinity
TimeoutStartSec=8
Environment=PATH=/usr/bin:/bin:/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin
Environment=PM2_HOME=/home/sean/.pm2
Restart=always
RestartSec=8

ExecStart=/usr/bin/pm2 start /data/blog/hexo_run/pm2-config.json --no-daemon
ExecReload=/usr/bin/pm2 reload all
ExecStop=/usr/bin/pm2 kill

[Install]
WantedBy=multi-user.target

[sean@rainingwalk hexo_run ]$ cat /usr/lib/systemd/system/hexo.service

[Unit]

Description=PM2 process manager

Documentation=https://pm2.keymetrics.io/

After=network.target

[Service]

User=sean

LimitNOFILE=infinity

LimitNPROC=infinity

LimitCORE=infinity

TimeoutStartSec=8

Environment=PATH=/usr/bin:/bin:/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin

Environment=PM2_HOME=/home/sean/.pm2

Restart=always

RestartSec=8

ExecStart=/usr/bin/pm2 start /data/blog/hexo_run/pm2-config.json --no-daemon

ExecReload=/usr/bin/pm2 reload all

ExecStop=/usr/bin/pm2 kill

[Install]

WantedBy=multi-user.target

systemctl deamon-reload && systemctl start hexo && systemctl enable hexo

By sean, 6 years06/15/2019 ago

未分类

致中医药信徒：这是一份世界观地毯式降维打击

致中医药信徒：这是一份世界观地毯式降维打击作者按：每当看到中老年人们（或者部分年轻人）将身体健康长寿的梦想寄希望于中医理论和中医养… 作者按：每当看到中老年人们（或者部分年轻人）将身体健康长寿的梦想寄希望于中医理论和中医养生，总觉得很可笑。追逐梦想的道路千万条，能够找到一条完全反着追的也是非常不容易了。这是一篇对中医药起底比较全面的文章，对部分人士的三观能够造成较强的地毯式降维打击。本文涵盖了从古代中医的战绩与真实水平、中医经典古籍的水平、到中医的理论认知水平、诊断水平，到经络穴位的由来、中药的逻辑、青蒿素与废医验药、现代中医的发展、西方力量是否对中医进行过刻意打压、中医理论的擎天巨BUG、中医养生的逻辑、质疑中医所需的条件等等方面，共计11个点，请根据自己的三观修复速度，酌情挑选食用。 1，高手在皇室吗？中国古代从秦始皇到末代溥仪期间生卒年份可考的300名皇帝里，摸到70岁的只有16人，这16个里面活到80岁的仅有5人（详见《帝王政治与健康-宋代皇帝疾病问题研究》），剔除非正常死亡的92人后，剩下的208人也是疾病缠身，平均寿命仅47.6岁。哪怕到了清朝，从顺治帝到道光帝的200多年里，六朝帝王后代们的平均寿命仅为18-26岁，幼儿夭折率21%-43%，两个数据都与野生猩猩差不多。他们可是享用最优秀的中医资源的权力中心啊。（当然，你仍可以辩解说是内乱，战争，近亲结婚，宫斗，真正的中医在深山老林里等等） 2，高手在民间吗？根据对近代名绅家族族谱的调查，家族成员平均寿命、幼儿夭折率与野生猩猩都没有显著差别，与同时期欧洲人也无显著差别。（包括①广东中山李氏家族1365-1849，近500年的完备族谱（20岁起编入）。②中国社会科学院历史研究所郭松义统计了清代135位民间绅士的子女死亡情况）在现代医学出现之前，所有传统医学对全人类的贡献都是微乎其微。东西方人不论是在放血的熬草药的拜神的喝符水的，公元前的平均寿命是20-30岁，1850年平均寿命才达到40岁。婴幼儿死亡率始终极高，而很多在今天可以相伴终身的慢性病或者只能在实验室里苟延残喘的病菌病毒，在过去都是满世界肆意收割人头的大BOSS。 3，从古至今所有的瘟疫，中医一个都没有解决过。古代瘟疫频率十分密集，所到之处，往往“十室九空”，“人死无算”（详见《中国古代疫病流行年表》等）。随着时代进步，现代医学逐个搞定人类顽疾的同时，中医们也在逐页吃书，今天的中医主要躲在自愈类疾病或慢性疾病背后（慢性病程自带起伏，主观给人以好转的感觉）。随着现代医学发展，中医的立脚点还将进一步缩减，继续撕书吃书。小儿麻痹症（脊髓灰质炎），中医认为是肺热和脾热，肺主皮毛所以皮肉萎缩，脾主肌肉所以肌肉萎缩，历代中医解释不一（反正都是文学想象嘛）。今天有谁相信中医能搞定小儿麻痹症？维生素缺乏症，中药汤能补维生素不？染色体遗传病，中医整体论能搞定不？寄生虫病，中草药配伍能打虫不？被疯狗咬伤了，被铁器划伤了，能用中医抵御狂犬病破伤风不？急性阑尾炎，有没有送去找中医的？兔唇，今天我们知道孕妇需要补充一种东西叫做叶酸，有谁会找中医补叶酸吗？（孕妇生下兔唇的孩子是因为她吃了兔子。——李时珍）糖尿病（消渴症），今天我们知道要么是胰岛素不足了，要么是体细胞对胰岛素不敏感了。中医说：虚火内生，下焦生热，热则肾燥，肾燥则渴。所以说你是肾虚，肾精亏损，需要补肾。至于胰岛素…中医连胰岛都不知道，糖尿病在古代是绝症。妇人难产送命的事情今天是几乎绝迹了。中医的办法比较厉害，弓弦能把箭射出去，因此方子是：弓弦烧灰/钟馗画的左脚撕下烧灰，配水/配酒喝下去。（孙思邈，李时珍，杨起）。此外，把一条弓弦绑在孕妇左臂，绑足一百天，能转女为男（孙思邈）。弓弦方子们百花齐放，就不一一列举了。肺结核鼠疫麻疹天花等等真正的古代瘟疫大boss就更无需多言了，全是绝症，纯靠人口基数和地理分布硬撑。诸如此类可以一直列举下去，只要是在现代医学已经阐明机理的疾病面前，中医是没有任何市场的。什么东西一旦具体化了，马上就与什么“君臣佐使”、“性味归经”、“温热寒凉”、“我有个亲戚朋友被治好了”等等完全脱钩，就算是中医铁粉也不再信中医了。于是中医自己也只好背地里撕了古书咽下去，冰袋敷脸忽略这些事，酿酿呛呛着步步后退。（推荐用“书名+空格+笑话/错误’”了解一下《本草纲目》、《黄帝内经》等经典古籍，基本上都属于开心一笑系列丛书）为什么中医讲究辨症施治？无法辨病，当然只能辨症。可是在缺乏科学知识的情况下，就算症型分得再详细，就算你把发烧再细分到是否脸红、是否咳嗽、是否肚子疼等等几十个维度，最后得出的病因也还是什么脾胃失和、肝火、肺热、偶感风寒、阳虚阴虚湿气元气火气这类玩意儿，与背后真实的病因仍然是八竿子打不着的关系。 4、中医不仅对于疾病认知差，对人体结构功能的认知更是可怜。《黄帝内经》说心脏是想事情的，大脑是负责流眼泪鼻涕口水的，心肺胃肠是有记忆功能的，胆是做决断的，更别提“奇恒之腑“和“三焦”了。直到鸦片战争前，当时国内公认最博学的人士余正燮说，中国人肺有六叶，洋人四叶，中国人的心有七窍，洋人四窍，中国人的肝在左边，洋人在右边，中国人的睾丸两颗，洋人四颗。——别笑，近代睁眼看世界第一人林则徐也是这么认为的，林则徐还提出，洋人海上厉害但上了岸就废了因为他们的腿无法弯曲，建议诱敌上岸歼之。还有经络，其实拿最简单的三个悖论就可以否定有这么一个神秘的微观系统。①医生在做手术前，必须清楚的知道那里解剖结构，如果一刀下去误伤了重要的神经、血管，后果不堪设想。但是全世界任何主刀医生下刀前有没有需要了解经络的？经络穴位对于体表的按压针刺都会反应到脏腑去，为何对手术刀反而无动于衷呢？②人的下肢分布了六条重要的经脉，分属五脏六腑，但是缺失下肢的人比比皆是，下肢的经络全没了，但是这些人除了不能行走以外，生理功能却是正常的，经络相连的内脏器官为什么不会损坏/罢工？③任何器官移植手术有没有需要连接经络的？孤零零的新器官失去了与全身经络穴位的联系，人居然没事？事实上，中医的虚化是非常近代的事情。从战国《黄帝内经》直到清末，经络脏腑在古书的描述中一直都是看得见摸得着的实体，本来我国古代是有机会发展出解剖学的，可是后来“身体发肤受之父母”不让解剖了，于是历代中医只好拍脑门，越编越玄乎。清朝王清任历经42年写出《医林改错》，连他想弄懂人体构造都得不断去刑场看、去找荒野横尸看，他指出经络即是血管，但是没人搭理他。古人由于分不清动脉静脉淋巴神经这些人体“线路”而得出了错误的结果，这不丢人，可悲的是后人在面对近代解剖学的冲击时做出的选择。1922年，为了反击余云岫对中医的批评，文人恽铁樵发表《群经见智录》作为回应，替中医界把五脏六腑全部剥离了血肉实体，改为虚拟化、符号化。1924年再发表《伤寒论研究》，又把六经六气也都虚化了。余云岫批驳说这人已经魔怔了，可令人想不到的是，跟着魔怔的是整个中医界。从恽铁樵以后，中医界整体虚上加虚，连带着气血、六淫、痰饮等等，把中医里几乎一切结构概念都虚拟化了。今天什么情况大家都知道了，不再赘述。最后顺带提一下崇古爱好者们经常吹嘘的古代内科手术、开颅手术，快得了吧。稍微保持点客观心态都能问出几个关键问题：如何保证无菌操作？如何对抗术后感染？更别说连五脏六腑都闹不清楚，血型认知和输血技术也都没有，手术工具也缺乏，开完怎么一层层合上也不知道…..真给开膛破肚，全都得飞升太虚啊。我是曹操我也得剁了华佗。 5、屠呦呦的成功是【废医验药】的最好证明，也是对中医药最沉重的耳光。屠呦呦收集了2000多个治疟古方：全，部，无，效！青蒿素的发现来自于晋代葛洪所著《肘后备急方》，这本书里写了其他20多条治疟疾的方子，包括：抱一只大公鸡然后大声喊叫、拿一个豆子切两半写上日月对着太阳把豆子吃下去、抓只蜘蛛配饭咽下去、头朝南边憋着气写一个鬼字等等，明显就是瞎编乱造，葛洪本人也只是个道士，并非什么名老中医。唯一能碰瓷青蒿素的方子里，青蒿（香蒿）是不含青蒿素的，青蒿素在黄花蒿里（臭蒿），而中医是几乎不用臭蒿入药的。退一步讲，就算葛洪用对了植物，可是青蒿素遇热易分解，并且几乎不溶于水，屠呦呦都是用乙醚低温萃取才得到的，而古方的描述是用水绞汁喝。 ——显然，古人照方是不可能摄取到足量青蒿素从而治得了疟疾的，换句话讲，此方连葛洪自己也未考实过，纯属这位道士虚构。2000多条治疟古方里一共提及了多少种动植物？难道只要误打误撞到了就能算作是中医的功劳吗？两千年的中医历史下来，两千余个疟疾方子，没有一个有效。这难道不是一记响亮的耳光？这就是中医真实水平的冰山一角。你可以与【西医治标中医治本】的说法联想一下，中医为什么从来没有急诊科、牙科、烧伤科、妇产科等等（说好的整体观黑箱论呢），为什么全都要缓慢起效+千人千方+不可重复？为什么总要先用西药压制症状再用中药深入调理治本？“本”是什么，这么多年来你感受到过吗，从几十年前喝中药到今天的长辈怎么还没调好“本”？中医的威胁恐吓为什么都是“等你老了就知道了”、“再过十年二十年你就知道了”？谁老了不会比年轻时体弱多病呢？欧美发达国家既不调理这气那气也不治本，咋没变得瘦小短命呢？说到科室，为啥现代医学分类这么细，而中医直接几本古书搞定全科？ 6，先别提药效，中医就连最基本的准确诊疗都做不到。试问，中医如果完全凭望闻问切，能准确诊断多少种疾病？能看出哪种维生素缺乏症？能看出结石，肿瘤？能看出乙肝梅毒HIV慢性粒细胞白血病？别忘了，作为中医安慰剂效应最强大的诊疗手段：把脉，这门经典骗术可是连怀孕这种产生了巨大生理变化的事情都诊不出来。微博上至今还挂着当年诊脉验孕挑战的50万人民币+一辆跑车，并且长期有效（现微博昵称：猩猩吸猩猩（原昵称为“盖得排行APP李铁”））。如果把脉只是基本功，全国中医医生、学子、传人有多少万人，就全都这么淡泊名利，放着当众打脸中医黑的机会与金钱跑车不要，任由别人这样怼中医？其实脉搏只是心跳频率、强度，这两个指标心电图里都有，并且左右手都一样，脖子，脚背，额头，摸得到浅表动脉的都一样，你要非说脉搏里就是能把出别的东西来，请关闭本文先检查检查自己的理智。无论如何，中医用手指把脉的敏感度能准确得过心电图？而现代医学至今都没有发现心电图与全身都存在着什么规律。中医之所以仅靠摁摁脉搏就知晓了你五脏六腑的情况，是因为古代中医以为脉搏是“气”在跳动，古人看到了尸体里空空的动脉管子，以为这里面是走气的，所以才有了把脉以及今后各种这气那气的说法。枝繁叶茂的玄学把脉体系就是构筑在这样的基础认知之上，不仅要三指扣脉、每根手指各有负责，还要区分左右手，再划分为几十种脉象，什么如盘中走珠、如雀啄、如波涛汹涌、如线等等，实则全是昧着良心胡扯。有兴趣可以查查复旦大学做过的一项研究：16名中医教授一起诊断，四诊结果各不相同。如何看待中医把脉，是对一个人看待事物是否独立客观思考的最入门级的检验，如果在逻辑道理已经如此清晰的事情上都无法转变观念，那么就更加不会质疑中医的其他部分了。很多人辩解时爱说什么“我邻居把脉被诊断对了”、“人家中医都有把脉课”、“人家国医都不否定把脉”、“人家xx中医药管理机构都承认把脉”、“那么多人看中医会是傻子？”，这都属于典型的放弃独立思考，把自己三观交由外界做决定的逻辑。这些人如果活在气功热的年代也会是气功坚信者，当气功热衰败时他们则会是最后一批苏醒者。 7、现代中医，继承发展？呵呵。我只请看官们注意一个规律。 ——今天不论是大学科班、民间传人、学徒，任何中医学习者，他们学习什么书籍？ ——今天几派中医起争执了，以什么解释为准？ ——每当祖师爷的理论和方子有破绽，归咎为什么原因？ ——今天有没有中医比华佗扁鹊张仲景孙思邈李时珍强？有没有中医敢自称比他们强？ ——今天的中草药包不包含古人没见过的外国动植物品种？都9102年了，还不扩容扩容？咖啡可乐巧克力等等近现代产物有没有温热寒凉和君臣佐使的属性，现代中医有没有把它们开发到中药方里去？ ——今天的中医可否发表几个新穴位、新经络？可否修改某条经络、某个穴位？可否把阴阳五行发展到六行八行？可否把某个性寒的改为性热？ ——今天的中医可否举一反三，往动物身上拓展，搞个“猫体脉象诊断学”、“牛体穴位分布图”？可否对猫儿狗儿进行号脉诊断，对牛羊儿进行中草药阴阳元气调理，对老虎狮子进行针灸拔罐去除湿气，帮海豚虎鲸坐月子不碰凉水…….（这都什么鬼），有没有中医宠物医院治一下寄生虫、细小病毒、猫狗藓？人们本能的就会感觉到，第一，中医那些东西只能人体有，放其他生物体身上压根就是扯，第二，后人改动理论根基、拓展疆域也是扯，后人只能去做不同的解读分析。第三，最强的是祖师爷，祖师爷永远正确。第四，以玄学为根基，是无法往上继续搭建玄学的。所以话就说回来了。在两千年后的今天，中医的权威依据依然只能在哪？理论高峰依然只能在哪？只能在千年前的古书里。 ——这是体现出了中医的宗教性的最明显的一条特征。什么叫原教旨主义、什么叫崇古、什么叫祖先崇拜，在这里都体现得淋漓尽致。 8、从来没有西方恶势力要暗地里投入资金在我国制造舆论风波摧毁中医。中医的日渐式微，纯粹是因为现代医学在大步前进，国民整体科学素养也在大步前进，而自己那些巫术咒语相形见拙。 Read more…

By sean, 6 years06/13/2019 ago

未分类

SwitchyOmega代理设置

由于6月敏感事件, GFW越来越恶心了, 以前是屏蔽端口, 现在是直接将ip屏蔽了, ping都不通… 只能借个帐号, 用SwitchyOmega代理上网了一. 建中介服务器:

# for shadowsocks
sslocal -c ./shadowsocks/shadowsocks.json --pid-file=./shadowsocks/shadowsocks.pid --log-file=./shadowsocks/shadowsocks.log --user=sean -d restart

# for privoxy
P_PIDFILE=privoxy.pid
[[ -f $P_PIDFILE ]] || touch $P_PIDFILE
kill `cat $P_PIDFILE` && rm -f $P_PIDFILE
sudo /usr/local/sbin/privoxy --pidfile $P_PIDFILE --user sean --no-daemon privoxy/config 2>/dev/null &

# for shadowsocks

sslocal -c ./shadowsocks/shadowsocks.json --pid-file=./shadowsocks/shadowsocks.pid --log-file=./shadowsocks/shadowsocks.log --user=sean -d restart

# for privoxy

P_PIDFILE=privoxy.pid

[[ -f $P_PIDFILE ]] || touch $P_PIDFILE

kill `cat $P_PIDFILE` && rm -f $P_PIDFILE

sudo /usr/local/sbin/privoxy --pidfile $P_PIDFILE --user sean --no-daemon privoxy/config 2>/dev/null &

二. 安装配置SwitchyOmega 下载插件proxy-switchyomega_v2.5.20.crx 将此插件拖入chrome插件窗口安装在情景模式下, 配置proxy代理服务在auto switch下, 配置: 规则列表设置: 规则列表格式: 选AutoProxy 规则列表网址: https://raw.githubusercontent.com/gfwlist/gfwlist/master/gfwlist.txt 最后用auto swith即可

By sean, 6 years06/03/2019 ago

未分类

Sed的常用命令语法

Sed是一个非交互性文本流编辑器。它编辑文件或标准输入导出的文本拷贝。vi中的正则表达式命令在sed中大多可以通用。 sed常用选项 -e script 指定sed编辑命令 -f scriptfile 指定的文件中是sed编辑命令 -n 寂静模式，抑制来自sed命令执行过程中的冗余输出信息，比如只显示那些被改变的行。 -i[SUFFIX], –in-place[=SUFFIX] 替换和备份源文件 edit files in place (makes backup if extension supplied) 1．参数p: 打印匹配行 # sed -n ‘2p’/etc/passwd 打印出第2行 awk ‘NR==2{print}’ /etc/passwd # sed -n ‘1,3p’/etc/passwd 打印出第1到第3行 # sed -n ‘$p’/etc/passwd 打印出最后一行 # sed -n ‘/user/p’ /etc/passwd 打印出含有user的行 # Read more…

By sean, 6 years05/25/2019 ago

未分类

docker registry auth权限认证搭建

docker registry官方默认的权限认证是pull和push都需要密码. 线上私有镜像仓库有个需求, pull不需要密码, 仅push需要密码, 这样线上应用不用更新逻辑, 从而增加registry的安全性, 不会被人使黑删除或覆盖镜像. 参考了 https://medium.com/@maanadev/authorization-for-private-docker-registry-d1f6bf74552f https://github.com/cesanta/docker_auth 搭建过程中间有一些坑. 首先搭建go环境,

cat >> /etc/profile <<EOF
export GOROOT=/usr/local/go
export GOPATH=/opt/goProject 
export GOBIN=$GOPATH/bin
export PATH=$PATH:$GOROOT/bin
export PATH=$PATH:$GOPATH/bin
EOF

cat >> /etc/profile <<EOF

export GOROOT=/usr/local/go

export GOPATH=/opt/goProject

export GOBIN=$GOPATH/bin

export PATH=$PATH:$GOROOT/bin

export PATH=$PATH:$GOPATH/bin

EOF

注意: go项目要放到/opt/goProject/src/目录下

mkdir $GOPATH/src/cesanta
cd $GOPATH/src/cesanta && \
git clone https://github.com/cesanta/docker_auth.git && \
cd docker_auth/auth_server
make deps
git clone https://github.com/ThilinaManamgoda/docker_registry_auth.git
cd docker_registry_auth
mkdir ssl # 然后将线上证书文件放到这里
# build executables in the conf/extensions folder
cd conf/extensions && \ 
GOOS=linux GOARCH=386 go build ../../main/authentication.go && \ 
GOOS=linux GOARCH=386 go build ../../main/authorization.go

mkdir $GOPATH/src/cesanta

cd $GOPATH/src/cesanta && \

git clone https://github.com/cesanta/docker_auth.git && \

cd docker_auth/auth_server

make deps

git clone https://github.com/ThilinaManamgoda/docker_registry_auth.git

cd docker_registry_auth

mkdir ssl # 然后将线上证书文件放到这里

# build executables in the conf/extensions folder

cd conf/extensions && \

GOOS=linux GOARCH=386 go build ../../main/authentication.go && \

GOOS=linux GOARCH=386 go build ../../main/authorization.go

安装docker-compose后, 这是我的compose文件:

cat docker-compose.yml
version: "2"
services:
 registry:
  image: registry:2.6.2
  container_name: ycr-registry-srv
  volumes:
    - ./ssl:/ssl
    - /ali-nas/ycr-xxx-com/registry-srv/data:/var/lib/registry
  restart: always
  network_mode: "host"
  environment:
    - TZ=Asia/Shanghai
    - REGISTRY_STORAGE_FILESYSTEM_ROOTDIRECTORY=/var/lib/registry
    - REGISTRY_AUTH=token
    - REGISTRY_AUTH_TOKEN_REALM=https://ycr.xxx.com:5001/auth
    - REGISTRY_AUTH_TOKEN_SERVICE="Docker registry"
    - REGISTRY_AUTH_TOKEN_ISSUER="Auth Service"
    - REGISTRY_AUTH_TOKEN_ROOTCERTBUNDLE=/ssl/domain.crt
    - REGISTRY_HTTP_TLS_CERTIFICATE=/ssl/domain.crt
    - REGISTRY_HTTP_TLS_KEY=/ssl/domain.key
 dockerauth:
   image: cesanta/docker_auth
   container_name: ycr-registry-auth
   network_mode: "host"
   volumes:
     - ./auth-config:/config:ro
     - ./ssl:/ssl
     - ./extensions:/extensions
   command: -alsologtostderr=true -log_dir=/logs /config/extAuth.yml
   restart: always
 registry-web:
   image: hyper/docker-registry-web
   container_name: ycr-registry-web
   ports:
     - "8080:8080"
   volumes:
     - /ali-nas/ycr-xxx-com/registry-web/conf:/conf:ro
     - /ali-nas/ycr-xxx-com/registry-web/db:/data
   environment:
     - TZ=Asia/Shanghai
   restart: always
   networks:
     extnetwork:
       ipv4_address: 192.168.200.2

networks:
  extnetwork:
    ipam:
      config:
      - subnet: 192.168.200.0/24
        gateway: 192.168.200.1

cat docker-compose.yml

version: "2"

services:

registry:

image: registry:2.6.2

container_name: ycr-registry-srv

volumes:

- ./ssl:/ssl

- /ali-nas/ycr-xxx-com/registry-srv/data:/var/lib/registry

restart: always

network_mode: "host"

environment:

- TZ=Asia/Shanghai

- REGISTRY_STORAGE_FILESYSTEM_ROOTDIRECTORY=/var/lib/registry

- REGISTRY_AUTH=token

- REGISTRY_AUTH_TOKEN_REALM=https://ycr.xxx.com:5001/auth

- REGISTRY_AUTH_TOKEN_SERVICE="Docker registry"

- REGISTRY_AUTH_TOKEN_ISSUER="Auth Service"

- REGISTRY_AUTH_TOKEN_ROOTCERTBUNDLE=/ssl/domain.crt

- REGISTRY_HTTP_TLS_CERTIFICATE=/ssl/domain.crt

- REGISTRY_HTTP_TLS_KEY=/ssl/domain.key

dockerauth:

image: cesanta/docker_auth

container_name: ycr-registry-auth

network_mode: "host"

volumes:

- ./auth-config:/config:ro

- ./ssl:/ssl

- ./extensions:/extensions

command: -alsologtostderr=true -log_dir=/logs /config/extAuth.yml

restart: always

registry-web:

image: hyper/docker-registry-web

container_name: ycr-registry-web

ports:

- "8080:8080"

volumes:

- /ali-nas/ycr-xxx-com/registry-web/conf:/conf:ro

- /ali-nas/ycr-xxx-com/registry-web/db:/data

environment:

- TZ=Asia/Shanghai

restart: always

networks:

extnetwork:

ipv4_address: 192.168.200.2

networks:

extnetwork:

ipam:

config:

- subnet: 192.168.200.0/24

gateway: 192.168.200.1

这是docker-auth配置文件:

cat auth-config/extAuth.yml

# A simple example. See reference.yml for explanation for explanation of all options.
#
#  auth:
#    token:
#      realm: "https://127.0.0.1:5001/auth"
#      service: "Docker registry"
#      issuer: "Acme auth server"
#      rootcertbundle: "/path/to/server.pem"

server:
  addr: ":5001"
  certificate: "/ssl/domain.crt"
  key: "/ssl/domain.key"

token:
  issuer: "Auth Service"  # Must match issuer in the Registry config.
  expiration: 900

users:
  # Password is specified as a BCrypt hash. Use `htpasswd -nB USERNAME` to generate.
  "admin":
    password: "$2y$05$NFnGYEh0k.xxxxxxxxxx/xxxxxx.xxxxxxx"
  #"test":
  #  #password: "$2y$05$WuwBasGDAgr.QCbGIjKJaep4dhxeai9gNZdmBnQXqpKly57oNutya"  # 123
  #  password: "$2y$05$ysDWI8R3Lfn6gKFS6xvwSOtK5c1sw7l.fYehfAzWWCMP1b1rbkKqy"  # 123
  "": {}  # Allow anonymous (no "docker login") access.

acl:
  - match: {account: "admin"}
    actions: ["*"]
    comment: "Admin has full access to everything."
  #- match: {account: "test"}
  #  actions: ["pull"]
  #  comment: "User \"user\" can pull stuff."
  - match: {account: ""}
    actions: ["pull"]
    comment: "Anonymous users can pull stuff."

  # can pull by default.

ext_auth:
  command: "/extensions/authentication"  # Can be a relative path too; $PATH works.
  args: [""]

ext_authz:
  command: "/extensions/authorization"
  args: [""]

cat auth-config/extAuth.yml

# A simple example. See reference.yml for explanation for explanation of all options.

# auth:

# token:

# realm: "https://127.0.0.1:5001/auth"

# service: "Docker registry"

# issuer: "Acme auth server"

# rootcertbundle: "/path/to/server.pem"

server:

addr: ":5001"

certificate: "/ssl/domain.crt"

key: "/ssl/domain.key"

token:

issuer: "Auth Service" # Must match issuer in the Registry config.

expiration: 900

users:

# Password is specified as a BCrypt hash. Use `htpasswd -nB USERNAME` to generate.

"admin":

password: "$2y$05$NFnGYEh0k.xxxxxxxxxx/xxxxxx.xxxxxxx"

#"test":

# #password: "$2y$05$WuwBasGDAgr.QCbGIjKJaep4dhxeai9gNZdmBnQXqpKly57oNutya" # 123

# password: "$2y$05$ysDWI8R3Lfn6gKFS6xvwSOtK5c1sw7l.fYehfAzWWCMP1b1rbkKqy" # 123

"": {} # Allow anonymous (no "docker login") access.

acl:

- match: {account: "admin"}

actions: ["*"]

comment: "Admin has full access to everything."

#- match: {account: "test"}

# actions: ["pull"]

# comment: "User \"user\" can pull stuff."

- match: {account: ""}

actions: ["pull"]

comment: "Anonymous users can pull stuff."

# can pull by default.

ext_auth:

command: "/extensions/authentication" # Can be a relative path too; $PATH works.

args: [""]

ext_authz:

command: "/extensions/authorization"

args: [""]

这是compose根目录文件结构:

[root@optdocker18-iuap-hb2-ali docker_registry_auth]# tree
.
├── auth-config
│   └── extAuth.yml
├── bak
│   ├── docker-compose.yml.2019-05-24
│   ├── docker-compose.yml.bridge
│   ├── docker-compose.yml.host
│   ├── docker-compose.yml.online
│   └── extAuth.yml.bak
├── docker-compose.yml
├── extensions
│   ├── authentication
│   └── authorization
└── ssl
    ├── domain.crt
    └── domain.key

4 directories, 11 files

[root@optdocker18-iuap-hb2-ali docker_registry_auth]# tree

├── auth-config

│ └── extAuth.yml

├── bak

│ ├── docker-compose.yml.2019-05-24

│ ├── docker-compose.yml.bridge

│ ├── docker-compose.yml.host

│ ├── docker-compose.yml.online

│ └── extAuth.yml.bak

├── docker-compose.yml

├── extensions

│ ├── authentication

│ └── authorization

└── ssl

├── domain.crt

└── domain.key

4 directories, 11 files

其中: registry-web是做web端管理界面详细的权限控制(https://github.com/cesanta/docker_auth/blob/master/examples/reference.yml):

# This config lists all the possible config options.
#
# To configure Docker Registry to talk to this server, put the following in the registry config file:
#
#  auth:
#    token:
#      realm: "https://127.0.0.1:5001/auth"
#      service: "Docker registry"
#      issuer: "Acme auth server"
#      autoredirect: false
#      rootcertbundle: "/path/to/server.pem"

server:  # Server settings.
  # Address to listen on.
  addr: ":5001"

  # URL path prefix to use.
  path_prefix: ""

  # TLS options.
  #
  # Use specific certificate and key.
  certificate: "/path/to/server.pem"
  key: "/path/to/server.key"
  # Use LetsEncrypt (https://letsencrypt.org/) to automatically obtain and maintain a certificate.
  # Note that this only applies to server TLS certificate, this certificate will not be used for tokens
  letsencrypt:
    # Email is required. It will be used to register with LetsEncrypt.
    email: webmaster@example.org
    # Cache directory, where certificates issued by LE will be stored. Must exist.
    # It is recommended to make it a volume mount so it persists across restarts.
    cache_dir: /data/sslcache
    # Normally LetsEncrypt will obtain a certificate for whichever host the client is connecting to.
    # With this option, you can limit it to a specific host name.
    # host: "docker.example.org"
  # If neither certificate+key or letsencrypt are configured, the listener does not use TLS.

  # Take client's address from the specified HTTP header instead of connection.
  # May be useful if the server is behind a proxy or load balancer.
  # If configured, this header must be present, requests without it will be rejected.
  # real_ip_header: "X-Forwarded-For"
  # Optional position of client ip in X-Forwarded-For, negative starts from
  # end of addresses.
  # real_ip_pos: -2

token:  # Settings for the tokens.
  issuer: "Acme auth server"  # Must match issuer in the Registry config.
  expiration: 900
  # Token must be signed by a certificate that registry trusts, i.e. by a certificate to which a trust chain
  # can be constructed from one of the certificates in registry's auth.token.rootcertbundle.
  # If not specified, server's TLS certificate and key are used.
  # certificate: "..."
  # key: "..."

# Authentication methods. All are tried, any one returning success is sufficient.
# At least one must be configured. If you want an unauthenticated public setup,
# configure static user map with anonymous access.

# Static user map.
users:
  # Password is specified as a BCrypt hash. Use `htpasswd -nB USERNAME` to generate.
  "admin":
    password: "$2y$05$LO.vzwpWC5LZGqThvEfznu8qhb5SGqvBSWY1J3yZ4AxtMRZ3kN5jC"  # badmin
  "test":
    password: "$2y$05$WuwBasGDAgr.QCbGIjKJaep4dhxeai9gNZdmBnQXqpKly57oNutya"  # 123
  "": {}  # Allow anonymous (no "docker login") access.

# Google authentication.
# ==! NB: DO NOT ENTER YOUR GOOGLE PASSWORD AT "docker login". IT WILL NOT WORK.
# Instead, Auth server maintains a database of Google authentication tokens.
# Go to the server's port as HTTPS with your browser and follow the "Login with Google account" link.
# Once signed in, you will get a throw-away password which you can use for Docker login.
google_auth:
  domain: "example.com"  # Optional. If set, only logins from this domain are accepted.
  # client_id and client_secret for API access. Required.
  # Follow instructions here: https://developers.google.com/identity/sign-in/web/devconsole-project
  # NB: Make sure JavaScript origins are configured correctly, and that third-party
  # cookies are not blocked in the browser being used to login.
  client_id: "1223123456-somethingsomething.apps.googleusercontent.com"
  # Either client_secret or client_secret_file is required. Use client_secret_file if you don't
  # want to have sensitive information checked in.
  # client_secret: "verysecret"
  client_secret_file: "/path/to/client_secret.txt"
  # Where to store server tokens. Required.
  token_db: "/somewhere/to/put/google_tokens.ldb"
  # How long to wait when talking to Google servers. Optional.
  http_timeout: 10

# GitHub authentication.
# ==! NB: DO NOT ENTER YOUR GITHUB PASSWORD AT "docker login". IT WILL NOT WORK.
# Instead, Auth server maintains a database of GitHub authentication tokens.
# Go to the server's port as HTTPS with your browser and follow the "Login with GitHub account" link.
# Once signed in, you will get a throw-away password which you can use for Docker login.
github_auth:
  organization: "acme"   # Optional. If set, only logins from this organization are accepted.
  # client_id and client_secret for API access. Required.
  # You can register a new application here: https://github.com/settings/developers
  # NB: Make sure JavaScript origins are configured correctly, and that third-party
  # cookies are not blocked in the browser being used to login.
  client_id: "1223123456"
  # Either client_secret or client_secret_file is required. Use client_secret_file if you don't
  # want to have sensitive information checked in.
  # client_secret: "verysecret"
  client_secret_file: "/path/to/client_secret.txt"
  # Either token_db file for storing of server tokens. 
  token_db: "/somewhere/to/put/github_tokens.ldb"
  # or google cloud storage for storing of the sensitive information. 
  gcs_token_db: 
    bucket: "tokenBucket"
    client_secret_file: "/path/to/client_secret.json"
  # How long to wait when talking to GitHub servers. Optional.
  http_timeout: "10s"
  # How long to wait before revalidating the GitHub token. Optional.
  revalidate_after: "1h"
  # The Github Web URI in case you are using Github Enterprise.
  # Includes the protocol, without trailing slash. Optional - defaults to: https://github.com
  github_web_uri: "https://github.acme.com"
  # The Github API URI in case you are using Github Enterprise.
  # Includes the protocol, without trailing slash. - defaults to: https://api.github.com
  github_api_uri: "https://github.acme.com/api/v3" 
  # Set an URL to display in the `docker login` command when succesfully authenticated. Optional.
  registry_url: localhost:5000

# LDAP authentication.
# Authentication is performed by first binding to the server, looking up the user entry
# by using the specified filter, and then re-binding using the matched DN and the password provided.
ldap_auth:
  # Addr is the hostname:port or ip:port
  addr: ldap.example.com:636
  # Setup tls connection method to be
  # "" or "none": the communication won't be encrypted
  # "always": setup LDAP over SSL/TLS
  # "starttls": sets StartTLS as the encryption method
  tls: always
  # set to true to allow insecure tls
  insecure_tls_skip_verify: false
  # set this to specify the ca certificate path
  ca_certificate:
  # In case bind DN and password is required for querying user information,
  # specify them here. Plain text password is read from the file.
  bind_dn:
  bind_password_file:
  # User query settings. ${account} is expanded from auth request 
  base: o=example.com
  filter: (&(uid=${account})(objectClass=person))
  # Labels can be mapped from LDAP attributes
  labels:
    # Add the user's title to a label called title
    title:
      attribute: title
    # Add the user's memberOf values to a label called groups
    groups:
      attribute: memberOf
      # Special handling to simplify the values to just the common name
      parse_cn: true

mongo_auth:
  # Essentially all options are described here: https://godoc.org/gopkg.in/mgo.v2#DialInfo
  dial_info:
    # The MongoDB hostnames or IPs to connect to.
    addrs: ["localhost"]
    # The time to wait for a server to respond when first connecting and on
    # follow up operations in the session. If timeout is zero, the call may
    # block forever waiting for a connection to be established.
    # (See https://golang.org/pkg/time/#ParseDuration for a format description.)
    timeout: "10s"
    # Database name that will be used on the MongoDB server.
    database: "docker_auth"
    # The username with which to connect to the MongoDB server.
    username: ""
    # Path to the text file with the password in it.
    password_file: ""
    # Enable TLS connection to MongoDB (only enable this if your server supports it)
    enable_tls: false
  # Name of the collection in which ACLs will be stored in MongoDB.
  collection: "users"
  # Unlike acl_mongo we don't cache the full user set. We just query mongo for
  # an exact match for each authorization

# External authentication - call an external progam to authenticate user.
# Username and password are passed to command's stdin and exit code is examined.
# 0 - allow, 1 - deny, 2 - no match, other - error.
# In case of success, if any output is returned, it is parsed as a JSON object.
# The "labels" key may contain labels to be passed down to authz, where they can
# be used in matching. See ext_auth.sh for an example.
ext_auth:
  command: "/usr/local/bin/my_auth"  # Can be a relative path too; $PATH works.
  args: ["--flag", "--more", "--flags"]

# Authorization methods. All are tried, any one returning success is sufficient.
# At least one must be configured.

# ACL specifies who can do what. If the match section of an entry matches the
# request, the set of allowed actions will be applied to the token request
# and a ticket will be issued only for those of the requested actions that are
# allowed by the rule.
#  * It is possible to match on user's name ("account"), subject type ("type")
#    and name ("name"; for type=repository this is the image name).
#  * Matches are evaluated as shell file name patterns ("globs") by default,
#    so "foobar", "f??bar", "f*bar" are all valid. For even more flexibility
#    match patterns can be evaluated as regexes by enclosing them in //, e.g.
#    "/(foo|bar)/".
#  * IP match can be single IP address or a subnet in the "prefix/mask" notation.
#  * ACL is evaluated in the order it is defined until a match is found.
#    Rules below the first match are not evaluated, so you'll need to put more
#    specific rules above more broad ones.
#  * Empty match clause matches anything, it only makes sense at the end of the
#    list and can be used as a way of specifying default permissions.
#  * Empty actions set means "deny everything". Thus, a rule with `actions: []`
#    is in effect a "deny" rule.
#  * A special set consisting of a single "*" action means "allow everything".
#  * If no match is found the default is to deny the request.
#
# You can use the following variables from the ticket request in any field:
#  * ${account} - the account name, currently the same as authenticated user's name.
#  * ${service} - the service name, specified by auth.token.service in the registry config.
#  * ${type} - the type of the entity, normally "repository".
#  * ${name} - the name of the repository (i.e. image), e.g. centos.
#  * ${labels:<LABEL>} - tests all values in the list of lables:<LABEL> for the user. Refer to the labels doc for details
acl:
  - match: {ip: "127.0.0.0/8"}
    actions: ["*"]
    comment: "Allow everything from localhost (IPv4)"
  - match: {ip: "::1"}
    actions: ["*"]
    comment: "Allow everything from localhost (IPv6)"
  - match: {ip: "172.17.0.1"}
    actions: ["*"]
    comment: "Allow everything from the local Docker bridge address"
  - match: {account: "admin"}
    actions: ["*"]
    comment: "Admin has full access to everything."
  - match: {account: "test", name: "test-*"}
    actions: ["*"]
    comment: "User \"test\" has full access to test-* images but nothing else. (1)"
  - match: {account: "test"}
    actions: []
    comment: "User \"test\" has full access to test-* images but nothing else. (2)"
  - match: {account: "/.+/", name: "${account}/*"}
    actions: ["*"]
    comment: "Logged in users have full access to images that are in their 'namespace'"
  - match: {account: "/.+/", type: "registry", name: "catalog"}
    actions: ["*"]
    comment: "Logged in users can query the catalog."
  - match: {account: "/.+/"}
    actions: ["pull"]
    comment: "Logged in users can pull all images."
  - match: {account: "", name: "hello-world"}
    actions: ["pull"]
    comment: "Anonymous users can pull \"hello-world\"."
  - match: {account: "/^(.+)@test.com$/", name: "${account:1}/*"}
    actions: []
    comment: "Emit domain part of account to make it a correct repo name"
  - match: {labels: {"group": "VIP"}}
    actions: ["push"]
    comment: "Users assigned to group 'VIP' is able to push"
  - match: {labels: {"group": "/trainee|dev/"}}
    actions: ["push", "pull"]
    comment: "Users assigned to group 'trainee' and 'dev' is able to push and pull"
  - match: {name: "${labels:group}-shared/*"}
    actions: ["push", "pull"]
    comment: "Users can push to the shared namespace of any group they are in"
  - match: {name: "${labels:project}/*"}
    actions: ["push", "pull"]
    comment: "Users can push to any project they are assigned to"
  - match: {name: "${labels:project}-{labels:tier}/*"}
    actions: ["push", "pull"]
    comment: "Users can push to a project-tier/* that they are assigned to"
  - match: {labels: {"title": "Developer"}}
    actions: ["*"]
    comment: "If you call yourself a developer you can do anything (this ACL is an example for LDAP labels as defined above)"
  - match: {labels: {"groups": "Admin"}}
    actions: ["push"]
    comment: "If you are part of the admin group you can push. (this ACL is an example for LDAP labels as defined above)"
  # Access is denied by default.

# (optional) Define to query ACL from a MongoDB server.
acl_mongo:
  # Essentially all options are described here: https://godoc.org/gopkg.in/mgo.v2#DialInfo
  dial_info:
    # The MongoDB hostnames or IPs to connect to.
    addrs: ["localhost"]
    # The time to wait for a server to respond when first connecting and on
    # follow up operations in the session. If timeout is zero, the call may
    # block forever waiting for a connection to be established.
    # (See https://golang.org/pkg/time/#ParseDuration for a format description.)
    timeout: "10s"
    # Database name that will be used on the MongoDB server.
    database: "docker_auth"
    # The username with which to connect to the MongoDB server.
    username: ""
    # Path to the text file with the password in it.
    password_file: ""
    # Enable TLS connection to MongoDB (only enable this if your server supports it)
    enable_tls: false
  # Name of the collection in which ACLs will be stored in MongoDB.
  collection: "acl"
  # Specify how long an ACL remains valid before they will be fetched again from
  # the MongoDB server.
  # (See https://golang.org/pkg/time/#ParseDuration for a format description.)
  cache_ttl: "1m"

# External authorization - call an external progam to authorize user.
# JSON of authz.AuthRequestInfo is passed to command's stdin and exit code is examined.
# 0 - allow, 1 - deny, other - error.
ext_authz:
  command: "/usr/local/bin/my_authz"  # Can be a relative path too; $PATH works.
  args: ["--flag", "--more", "--flags"]

100

101

102

103

104

105

106

107

108

109

110

111

112

113

114

115

116

117

118

119

120

121

122

123

124

125

126

127

128

129

130

131

132

133

134

135

136

137

138

139

140

141

142

143

144

145

146

147

148

149

150

151

152

153

154

155

156

157

158

159

160

161

162

163

164

165

166

167

168

169

170

171

172

173

174

175

176

177

178

179

180

181

182

183

184

185

186

187

188

189

190

191

192

193

194

195

196

197

198

199

200

201

202

203

204

205

206

207

208

209

210

211

212

213

214

215

216

217

218

219

220

221

222

223

224

225

226

227

228

229

230

231

232

233

234

235

236

237

238

239

240

241

242

243

244

245

246

247

248

249

250

251

252

253

254

255

256

257

258

259

260

261

262

263

264

265

266

267

268

269

270

271

272

273

274

275

276

277

278

279

280

281

282

283

284

285

286

287

288

289

290

291

292

293

294

295

296

297

298

299

300

301

302

303

304

305

306

307

308

# This config lists all the possible config options.

# To configure Docker Registry to talk to this server, put the following in the registry config file:

# auth:

# token:

# realm: "https://127.0.0.1:5001/auth"

# service: "Docker registry"

# issuer: "Acme auth server"

# autoredirect: false

# rootcertbundle: "/path/to/server.pem"

server: # Server settings.

# Address to listen on.

addr: ":5001"

# URL path prefix to use.

path_prefix: ""

# TLS options.

# Use specific certificate and key.

certificate: "/path/to/server.pem"

key: "/path/to/server.key"

# Use LetsEncrypt (https://letsencrypt.org/) to automatically obtain and maintain a certificate.

# Note that this only applies to server TLS certificate, this certificate will not be used for tokens

letsencrypt:

# Email is required. It will be used to register with LetsEncrypt.

email: webmaster@example.org

# Cache directory, where certificates issued by LE will be stored. Must exist.

# It is recommended to make it a volume mount so it persists across restarts.

cache_dir: /data/sslcache

# Normally LetsEncrypt will obtain a certificate for whichever host the client is connecting to.

# With this option, you can limit it to a specific host name.

# host: "docker.example.org"

# If neither certificate+key or letsencrypt are configured, the listener does not use TLS.

# Take client's address from the specified HTTP header instead of connection.

# May be useful if the server is behind a proxy or load balancer.

# If configured, this header must be present, requests without it will be rejected.

# real_ip_header: "X-Forwarded-For"

# Optional position of client ip in X-Forwarded-For, negative starts from

# end of addresses.

# real_ip_pos: -2

token: # Settings for the tokens.

issuer: "Acme auth server" # Must match issuer in the Registry config.

expiration: 900

# Token must be signed by a certificate that registry trusts, i.e. by a certificate to which a trust chain

# can be constructed from one of the certificates in registry's auth.token.rootcertbundle.

# If not specified, server's TLS certificate and key are used.

# certificate: "..."

# key: "..."

# Authentication methods. All are tried, any one returning success is sufficient.

# At least one must be configured. If you want an unauthenticated public setup,

# configure static user map with anonymous access.

# Static user map.

users:

# Password is specified as a BCrypt hash. Use `htpasswd -nB USERNAME` to generate.

"admin":

password: "$2y$05$LO.vzwpWC5LZGqThvEfznu8qhb5SGqvBSWY1J3yZ4AxtMRZ3kN5jC" # badmin

"test":

password: "$2y$05$WuwBasGDAgr.QCbGIjKJaep4dhxeai9gNZdmBnQXqpKly57oNutya" # 123

"": {} # Allow anonymous (no "docker login") access.

# Google authentication.

# ==! NB: DO NOT ENTER YOUR GOOGLE PASSWORD AT "docker login". IT WILL NOT WORK.

# Instead, Auth server maintains a database of Google authentication tokens.

# Go to the server's port as HTTPS with your browser and follow the "Login with Google account" link.

# Once signed in, you will get a throw-away password which you can use for Docker login.

google_auth:

domain: "example.com" # Optional. If set, only logins from this domain are accepted.

# client_id and client_secret for API access. Required.

# Follow instructions here: https://developers.google.com/identity/sign-in/web/devconsole-project

# NB: Make sure JavaScript origins are configured correctly, and that third-party

# cookies are not blocked in the browser being used to login.

client_id: "1223123456-somethingsomething.apps.googleusercontent.com"

# Either client_secret or client_secret_file is required. Use client_secret_file if you don't

# want to have sensitive information checked in.

# client_secret: "verysecret"

client_secret_file: "/path/to/client_secret.txt"

# Where to store server tokens. Required.

token_db: "/somewhere/to/put/google_tokens.ldb"

# How long to wait when talking to Google servers. Optional.

http_timeout: 10

# GitHub authentication.

# ==! NB: DO NOT ENTER YOUR GITHUB PASSWORD AT "docker login". IT WILL NOT WORK.

# Instead, Auth server maintains a database of GitHub authentication tokens.

# Go to the server's port as HTTPS with your browser and follow the "Login with GitHub account" link.

# Once signed in, you will get a throw-away password which you can use for Docker login.

github_auth:

organization: "acme" # Optional. If set, only logins from this organization are accepted.

# client_id and client_secret for API access. Required.

# You can register a new application here: https://github.com/settings/developers

# NB: Make sure JavaScript origins are configured correctly, and that third-party

# cookies are not blocked in the browser being used to login.

client_id: "1223123456"

# Either client_secret or client_secret_file is required. Use client_secret_file if you don't

# want to have sensitive information checked in.

# client_secret: "verysecret"

client_secret_file: "/path/to/client_secret.txt"

# Either token_db file for storing of server tokens.

token_db: "/somewhere/to/put/github_tokens.ldb"

# or google cloud storage for storing of the sensitive information.

gcs_token_db:

bucket: "tokenBucket"

client_secret_file: "/path/to/client_secret.json"

# How long to wait when talking to GitHub servers. Optional.

http_timeout: "10s"

# How long to wait before revalidating the GitHub token. Optional.

revalidate_after: "1h"

# The Github Web URI in case you are using Github Enterprise.

# Includes the protocol, without trailing slash. Optional - defaults to: https://github.com

github_web_uri: "https://github.acme.com"

# The Github API URI in case you are using Github Enterprise.

# Includes the protocol, without trailing slash. - defaults to: https://api.github.com

github_api_uri: "https://github.acme.com/api/v3"

# Set an URL to display in the `docker login` command when succesfully authenticated. Optional.

registry_url: localhost:5000

# LDAP authentication.

# Authentication is performed by first binding to the server, looking up the user entry

# by using the specified filter, and then re-binding using the matched DN and the password provided.

ldap_auth:

# Addr is the hostname:port or ip:port

addr: ldap.example.com:636

# Setup tls connection method to be

# "" or "none": the communication won't be encrypted

# "always": setup LDAP over SSL/TLS

# "starttls": sets StartTLS as the encryption method

tls: always

# set to true to allow insecure tls

insecure_tls_skip_verify: false

# set this to specify the ca certificate path

ca_certificate:

# In case bind DN and password is required for querying user information,

# specify them here. Plain text password is read from the file.

bind_dn:

bind_password_file:

# User query settings. ${account} is expanded from auth request

base: o=example.com

filter: (&(uid=${account})(objectClass=person))

# Labels can be mapped from LDAP attributes

labels:

# Add the user's title to a label called title

title:

attribute: title

# Add the user's memberOf values to a label called groups

groups:

attribute: memberOf

# Special handling to simplify the values to just the common name

parse_cn: true

mongo_auth:

# Essentially all options are described here: https://godoc.org/gopkg.in/mgo.v2#DialInfo

dial_info:

# The MongoDB hostnames or IPs to connect to.

addrs: ["localhost"]

# The time to wait for a server to respond when first connecting and on

# follow up operations in the session. If timeout is zero, the call may

# block forever waiting for a connection to be established.

# (See https://golang.org/pkg/time/#ParseDuration for a format description.)

timeout: "10s"

# Database name that will be used on the MongoDB server.

database: "docker_auth"

# The username with which to connect to the MongoDB server.

username: ""

# Path to the text file with the password in it.

password_file: ""

# Enable TLS connection to MongoDB (only enable this if your server supports it)

enable_tls: false

# Name of the collection in which ACLs will be stored in MongoDB.

collection: "users"

# Unlike acl_mongo we don't cache the full user set. We just query mongo for

# an exact match for each authorization

# External authentication - call an external progam to authenticate user.

# Username and password are passed to command's stdin and exit code is examined.

# 0 - allow, 1 - deny, 2 - no match, other - error.

# In case of success, if any output is returned, it is parsed as a JSON object.

# The "labels" key may contain labels to be passed down to authz, where they can

# be used in matching. See ext_auth.sh for an example.

ext_auth:

command: "/usr/local/bin/my_auth" # Can be a relative path too; $PATH works.

args: ["--flag", "--more", "--flags"]

# Authorization methods. All are tried, any one returning success is sufficient.

# At least one must be configured.

# ACL specifies who can do what. If the match section of an entry matches the

# request, the set of allowed actions will be applied to the token request

# and a ticket will be issued only for those of the requested actions that are

# allowed by the rule.

# * It is possible to match on user's name ("account"), subject type ("type")

# and name ("name"; for type=repository this is the image name).

# * Matches are evaluated as shell file name patterns ("globs") by default,

# so "foobar", "f??bar", "f*bar" are all valid. For even more flexibility

# match patterns can be evaluated as regexes by enclosing them in //, e.g.

# "/(foo|bar)/".

# * IP match can be single IP address or a subnet in the "prefix/mask" notation.

# * ACL is evaluated in the order it is defined until a match is found.

# Rules below the first match are not evaluated, so you'll need to put more

# specific rules above more broad ones.

# * Empty match clause matches anything, it only makes sense at the end of the

# list and can be used as a way of specifying default permissions.

# * Empty actions set means "deny everything". Thus, a rule with `actions: []`

# is in effect a "deny" rule.

# * A special set consisting of a single "*" action means "allow everything".

# * If no match is found the default is to deny the request.

# You can use the following variables from the ticket request in any field:

# * ${account} - the account name, currently the same as authenticated user's name.

# * ${service} - the service name, specified by auth.token.service in the registry config.

# * ${type} - the type of the entity, normally "repository".

# * ${name} - the name of the repository (i.e. image), e.g. centos.

# * ${labels:<LABEL>} - tests all values in the list of lables:<LABEL> for the user. Refer to the labels doc for details

acl:

- match: {ip: "127.0.0.0/8"}

actions: ["*"]

comment: "Allow everything from localhost (IPv4)"

- match: {ip: "::1"}

actions: ["*"]

comment: "Allow everything from localhost (IPv6)"

- match: {ip: "172.17.0.1"}

actions: ["*"]

comment: "Allow everything from the local Docker bridge address"

- match: {account: "admin"}

actions: ["*"]

comment: "Admin has full access to everything."

- match: {account: "test", name: "test-*"}

actions: ["*"]

comment: "User \"test\" has full access to test-* images but nothing else. (1)"

- match: {account: "test"}

actions: []

comment: "User \"test\" has full access to test-* images but nothing else. (2)"

- match: {account: "/.+/", name: "${account}/*"}

actions: ["*"]

comment: "Logged in users have full access to images that are in their 'namespace'"

- match: {account: "/.+/", type: "registry", name: "catalog"}

actions: ["*"]

comment: "Logged in users can query the catalog."

- match: {account: "/.+/"}

actions: ["pull"]

comment: "Logged in users can pull all images."

- match: {account: "", name: "hello-world"}

actions: ["pull"]

comment: "Anonymous users can pull \"hello-world\"."

- match: {account: "/^(.+)@test.com$/", name: "${account:1}/*"}

actions: []

comment: "Emit domain part of account to make it a correct repo name"

- match: {labels: {"group": "VIP"}}

actions: ["push"]

comment: "Users assigned to group 'VIP' is able to push"

- match: {labels: {"group": "/trainee|dev/"}}

actions: ["push", "pull"]

comment: "Users assigned to group 'trainee' and 'dev' is able to push and pull"

- match: {name: "${labels:group}-shared/*"}

actions: ["push", "pull"]

comment: "Users can push to the shared namespace of any group they are in"

- match: {name: "${labels:project}/*"}

actions: ["push", "pull"]

comment: "Users can push to any project they are assigned to"

- match: {name: "${labels:project}-{labels:tier}/*"}

actions: ["push", "pull"]

comment: "Users can push to a project-tier/* that they are assigned to"

- match: {labels: {"title": "Developer"}}

actions: ["*"]

comment: "If you call yourself a developer you can do anything (this ACL is an example for LDAP labels as defined above)"

- match: {labels: {"groups": "Admin"}}

actions: ["push"]

comment: "If you are part of the admin group you can push. (this ACL is an example for LDAP labels as defined above)"

# Access is denied by default.

# (optional) Define to query ACL from a MongoDB server.

acl_mongo:

# Essentially all options are described here: https://godoc.org/gopkg.in/mgo.v2#DialInfo

dial_info:

# The MongoDB hostnames or IPs to connect to.

addrs: ["localhost"]

# The time to wait for a server to respond when first connecting and on

# follow up operations in the session. If timeout is zero, the call may

# block forever waiting for a connection to be established.

# (See https://golang.org/pkg/time/#ParseDuration for a format description.)

timeout: "10s"

# Database name that will be used on the MongoDB server.

database: "docker_auth"

# The username with which to connect to the MongoDB server.

username: ""

# Path to the text file with the password in it.

password_file: ""

# Enable TLS connection to MongoDB (only enable this if your server supports it)

enable_tls: false

# Name of the collection in which ACLs will be stored in MongoDB.

collection: "acl"

# Specify how long an ACL remains valid before they will be fetched again from

# the MongoDB server.

# (See https://golang.org/pkg/time/#ParseDuration for a format description.)

cache_ttl: "1m"

# External authorization - call an external progam to authorize user.

# JSON of authz.AuthRequestInfo is passed to command's stdin and exit code is examined.

# 0 - allow, 1 - deny, other - error.

ext_authz:

command: "/usr/local/bin/my_authz" # Can be a relative path too; $PATH works.

args: ["--flag", "--more", "--flags"]

By sean, 6 years05/24/2019 ago