AegisTrust 合规

# AegisTrust Data Plane Agent — 客户内网轻量容器
#
# 用法（加固形态，2026-09-29 第 40 轮起为唯一推荐形态）：
#   docker build -t aegistrust-agent agent/
#   docker run -d --name aegistrust-agent \
#     --user 10001:10001 --read-only --cap-drop ALL --security-opt no-new-privileges \
#     --tmpfs /var/lib/aegistrust:uid=10001,gid=10001,mode=0755 \
#     -e AGENT_API_URL=https://api.aegistrust.ai/v1/agent \
#     -e AGENT_API_KEY=<控制台生成的 key> \
#     -v "$(pwd)":/work:ro \
#     aegistrust-agent
#
# 基底镜像：node:24-alpine = 当前 LTS 线（Node 20 的官方维护已于 2026-04 结束，
# 留在 20 会持续吃不到安全补丁）。
FROM node:24-alpine

# 非 root 运行（2026-09-29 第 40 轮）：旧镜像实际以 uid=0(root) 跑，与对外
# 「100% 用户态零侵入 / 无特权容器」的承诺矛盾。固定 gid/uid 10001 并在构建期
# chown 运行时需要的目录；只读根 FS 下 /var/lib/aegistrust 由调用方用 tmpfs
# 或命名卷挂载（见 agent/deploy/README.md）。
RUN addgroup -g 10001 -S aegis \
 && adduser -u 10001 -S -G aegis -h /app -s /sbin/nologin aegis \
 && mkdir -p /var/lib/aegistrust \
 && chown -R 10001:10001 /var/lib/aegistrust

WORKDIR /app
COPY package.json ./
COPY src/ ./src/

# 本地检查依赖（可选：AWS CLI——凭证由客户挂载，绝不进镜像/云端；
# iproute2 提供 ss——network-exposed-ports 检查器依赖）
# 2026-08-21 修复：aws-cli 在 alpine 默认 repo 不存在（community）——
# 与 git/iproute2 同条 apk 会整体失败导致 fallback 丢掉全部依赖；
# 拆开执行，aws-cli 失败不阻断其余依赖。
RUN apk add --no-cache git iproute2 && (apk add --no-cache aws-cli || echo "aws-cli unavailable (aws-s3 checker will be skipped)")

# /app 只读即可；/work 由调用方只读挂载（Agent 只读扫描，绝不写客户代码）。
ENV AGENT_WORKDIR=/work \
    AGENT_QUEUE_PATH=/var/lib/aegistrust/queue.ndjson

# 应用层正向代理（第 41 轮，可选，默认不启动）：设置 AGENT_PROXY_PORT 才监听。
# 端口默认只绑 127.0.0.1 —— 适配同 pod / 同任务内 sidecar（应用设 HTTP_PROXY 指向它）。
# 要让其它网络命名空间访问，必须显式 AGENT_PROXY_BIND=0.0.0.0 并置于 NetworkPolicy 之后；
# 代理自身不做认证，绝不能直接暴露到不受信网络。CONNECT 为盲隧道（不拆 TLS），看不到加密载荷。
ENV AGENT_PROXY_MODE=monitor
EXPOSE 8787

USER 10001:10001

# 真健康信号：离线队列目录必须可写。只读根 FS 漏挂 tmpfs 时会如实变 unhealthy，
# 而不是"进程还在、结果却只留在内存里"的假健康。
HEALTHCHECK --interval=30s --timeout=5s --start-period=20s --retries=3 \
  CMD node -e "const fs=require('node:fs');const p=(process.env.AGENT_QUEUE_PATH||'/var/lib/aegistrust/queue.ndjson');const d=p.slice(0,p.lastIndexOf('/'))||'.';fs.accessSync(d,fs.constants.W_OK)"

CMD ["node", "src/index.mjs"]