mcpField
I
infisical-self-host

infisical-self-host

github.com/infisical云与 DevOps36722 次安装1 周前更新
代码仓库

关于 infisical-self-host

这项技能指导在自托管环境中部署和运维 Infisical，涵盖 Docker、Docker Compose 和 Kubernetes，并提供安全加固、扩展与维护建议。

主要功能

  1. 01Docker 和 Docker Compose 部署指南
  2. 02Kubernetes 与 Helm 部署指南
  3. 03配置和环境变量参考
  4. 04安全加固与 FIPS 部署
  5. 05扩展、高可用性和备份

适用场景

  1. 01通过 Docker 或 Kubernetes 部署 Infisical
  2. 02加固生产环境中的自托管实例
  3. 03规划副本扩展与高可用性
  4. 04准备数据库备份和升级

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/infisical/ai-skills --skill infisical-self-host

安装后在 Claude Code 中输入/infisical-self-host确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

references/
docker-deployment.md
environment-variables.md
kubernetes-deployment.md
scaling-and-ha.md

详细介绍

Infisical 自托管部署

本技能将指导你在自托管环境中部署、配置和运行 Infisical。无论你是在 Docker、Docker Compose 还是 Kubernetes 上运行 Infisical，本资源都涵盖了基本设置、安全加固、扩展和维护模式。

不适用于此技能的情况

如果用户想要……使用
部署 Kubernetes Operator（它也有 Helm chart，但并非一回事）infisical-kubernetes-operator
从 Infisical 访问私有资源infisical-gateway
在其实例上配置 SSO 或 SCIMinfisical-sso
角色、权限、审计日志流infisical-access-control
在 Infisical 运行后使用它infisical-setup
为根密钥提供支持的外部 KMS 或 HSMinfisical-kms

最好提前说明 Helm 相关的区别：secrets-operator chart 安装的是 operator； 本技能介绍的是安装 平台 的 chart。两者都来自同一个 Cloudsmith 仓库。

指导原则

  1. ENCRYPTION_KEY 至关重要：此密钥用于加密所有静态存储的密钥，丢失后无法恢复。请备份并按照 Infisical 的轮换流程谨慎轮换。

    • 标准部署：随机生成的 16 字节十六进制字符串 — openssl rand -hex 16
    • 启用 FIPS 的部署：改用 256 位 base64 密钥 — openssl rand -base64 32

  2. 必须设置 AUTH_SECRET：此密钥用于会话和 JWT 签名。它为 32 字节（base64），通过 openssl rand -base64 32 生成，并且必须在重启后保持不变。

  3. 数据库要求：仅支持 PostgreSQL。为确保兼容性，请使用 14 或更高版本；Infisical 已针对 16 进行了广泛测试。升级 Infisical 前，请务必备份数据库。架构迁移会在启动时自动运行（自 v0.111.0-postgres 起）。

  4. Redis 是硬性依赖，不只是缓存：除缓存外，它还存储后台作业队列、分布式锁、跨实例协调状态和速率限制计数器。除非设置了 REDIS_URL、REDIS_SENTINEL_HOSTS 或 REDIS_CLUSTER_HOSTS 其中之一，否则实例不会启动；Redis 无法访问时，正在运行的实例也会降级运行。

    • 使用 Redis 6.x 或 7.x；建议至少使用 6.2
    • 支持所有三种拓扑：独立模式、Sentinel 和 Cluster
    • 建议采用主备模式。 主主动模式未经测试，行为可能不符合文档说明
    • 将淘汰策略设为 noeviction。 这是必要要求，而非调优建议——内存压力下淘汰键会导致队列中的工作被静默丢弃
    • 启用持久化（AOF，或至少使用 RDB 快照），并备份 Redis。待处理的密钥轮换、同步和 webhook 投递任务都存储在其中；Redis 恢复后若数据为空，这些任务就会丢失
    • Redis 的可用性目标应与应用实例相同——未配置副本的 Redis 会成为整个部署的单点故障

  5. 无状态架构：Infisical 是无状态的。通过增加副本进行水平扩展。所有状态都存储在 PostgreSQL 和 Redis 中。每个实例最多需要 2–4 个 CPU 核心和 4–8 GB 内存；应增加容器，而不是扩容单个容器。

  6. FIPS 合规性：Infisical 符合 FIPS 140-3。请部署单独的 infisical/infisical-fips Docker 镜像（仅限 Enterprise 的镜像，并非标准仓库中的标签），并设置 FIPS_ENABLED=true。请注意，在 FIPS 模式下，ENCRYPTION_KEY 的格式会变为 256 位 base64。

快速开始

  • Docker 独立部署：拉取 infisical/infisical:<version>，设置环境变量，并在端口 8080 上运行。
  • Docker Compose：使用仓库中的 docker-compose.prod.yml，并配置 PostgreSQL 和 Redis 服务。
  • Kubernetes：通过 Cloudsmith 注册表中的 Helm chart infisical-standalone-postgres 部署，可选用托管数据库。

参考指南

环境变量

所有配置环境变量的完整参考，包括：

  • 必需的键（ENCRYPTION_KEY、AUTH_SECRET、数据库、Redis）
  • 数据库和复制设置
  • 支持 Sentinel 的 Redis
  • SMTP 配置
  • OAuth/SSO 提供商
  • FIPS 和遥测设置
  • 安全选项
Docker 部署

Docker 和 Docker Compose 部署模式，包括：

  • 独立容器设置
  • Docker Compose 生产环境堆栈
  • 镜像变体（标准版和 FIPS 版）
  • 通过安全功能和只读文件系统强化生产环境
  • 健康检查
Kubernetes 部署

Kubernetes 和 Helm 部署指南，包括：

  • Helm chart 的安装和配置
  • 密钥的创建和管理
  • 可选的 PostgreSQL 和 Redis（Bitnami charts）
  • Pod 安全和 RBAC
  • 网络策略和 Ingress/TLS
扩展与高可用性

生产环境扩展模式和高可用架构，包括：

  • 水平扩展（添加副本）
  • Infisical、PostgreSQL 和 Redis 的容量规划指南
  • 数据库只读副本
  • 用于实现高可用的 Redis Sentinel
  • 备份和升级流程
  • 许可证服务防火墙规则

评论

支持 Markdown