Тема
Конфигурация
Основная конфигурация развёртывания находится в файле .env. Создавайте его только из .env.example той же версии поставки.
Правила работы с .env
- Используйте разные случайные значения для всех паролей и ключей.
- Не меняйте
APP_SECRETS_KEYпосле первоначальной настройки без отдельной процедуры ротации. - Не используйте тег образа
latestв промышленной среде. - Перед запуском проверяйте конфигурацию командой
ENVFILE=.env docker compose --env-file .env config --quiet. - При обновлении сравнивайте новый
.env.exampleс действующим.env; не заменяйте рабочий файл целиком.
Приложение
| Переменная | Назначение | Пример |
|---|---|---|
BACKEND_IMAGE | Образ серверной части. | registry.legionsecurity.ru/l1-support/l1-server |
BACKEND_VERSION | Точная версия серверной части. | v1.8.0 |
FRONTEND_IMAGE | Образ клиентской части. | registry.legionsecurity.ru/l1-support/l1-client |
FRONTEND_VERSION | Точная версия клиентской части. | v1.8.0 |
SERVICE_NAME | Имя сервиса в журналах. | l1-support |
APP_ENV | Режим работы. | prod |
SERVER_ADDRESS | Адрес прослушивания внутри контейнера. | 0.0.0.0 |
SERVER_PORT | Внутренний порт backend. | 3000 |
SERVER_HOST_PORT | Диагностический порт backend на localhost. | 9100 |
FRONTEND_BIND_ADDRESS | Адрес публикации frontend на хосте. | 127.0.0.1 |
FRONTEND_HOST_PORT | Порт веб-интерфейса на хосте. | 9090 |
FRONTEND_PUBLIC_URL | Публичный адрес веб-интерфейса. | https://l1.example.org |
DOCKER_DNS_SERVER | Корпоративный DNS-сервер для контейнера backend. Используется для LDAP/AD | 192.168.20.100 |
DOCKER_DNS_SEARCH | Поисковый домен DNS. | corp.example.org |
PostgreSQL
| Переменная | Назначение | Пример |
|---|---|---|
DB_TYPE | Тип базы данных. | postgres |
DB_HOST | Имя сервиса PostgreSQL. | postgres |
DB_PORT | Внутренний порт PostgreSQL. | 5432 |
DB_USER | Пользователь базы данных. | l1_support |
DB_PASSWORD | Пароль пользователя. | <случайный_пароль> |
DB_NAME | Имя базы данных. | l1_support |
DB_HOST_PORT | Диагностический порт PostgreSQL на localhost. | 9101 |
Redis
| Переменная | Назначение | Пример |
|---|---|---|
REDIS_HOST | Имя сервиса Redis. | redis |
REDIS_PORT | Внутренний порт Redis. | 6379 |
REDIS_HOST_PORT | Диагностический порт Redis на localhost. | 9102 |
REDIS_PASSWORD | Пароль Redis. | <случайный_пароль> |
REDIS_DB | Номер логической базы. | 0 |
REDIS_MAX_RETRIES | Число повторов подключения. | 3 |
REDIS_DIAL_TIMEOUT | Тайм-аут подключения. | 5s |
REDIS_READ_TIMEOUT | Тайм-аут чтения. | 3s |
REDIS_WRITE_TIMEOUT | Тайм-аут записи. | 3s |
MinIO и S3
| Переменная | Назначение | Пример |
|---|---|---|
MINIO_ROOT_USER | Администратор MinIO. | l1-minio-admin |
MINIO_ROOT_PASSWORD | Пароль администратора MinIO. | <случайный_пароль> |
MINIO_API_BIND_ADDRESS | Адрес публикации S3 API на хосте. | 127.0.0.1 |
MINIO_API_HOST_PORT | Порт S3 API на хосте. | 9104 |
MINIO_CONSOLE_HOST_PORT | Порт консоли MinIO на localhost. | 9103 |
S3_BUCKET | Имя приватного бакета. | l1-files |
S3_REGION | Регион S3. | us-east-1 |
S3_ACCESS_KEY | Технический пользователь backend. | l1-app |
S3_SECRET_KEY | Пароль технического пользователя. | <случайный_пароль> |
S3_ENDPOINT | Внутренний адрес MinIO для backend. | http://minio:9000 |
S3_PUBLIC_ENDPOINT | Базовый адрес S3 API в подписанных URL. | https://s3.l1.example.org |
S3_USE_PATH_STYLE | Использование path-style адресов S3. | true |
В штатной поставке используется MinIO из docker-compose.yaml:
- backend обращается к хранилищу по внутреннему адресу
S3_ENDPOINT; для встроенного MinIO оставьтеhttp://minio:9000; - backend использует
S3_PUBLIC_ENDPOINTпри формировании временных подписанных URL, по которым браузеры напрямую загружают и скачивают файлы; S3_PUBLIC_ENDPOINTуказывается без имени бакета, пути к объекту и служебного пути/minio/health/live, напримерhttps://s3.l1.example.org,https://l1.example.org:9443илиhttp://192.168.1.10:9104;S3_USE_PATH_STYLE=trueтребуется для встроенного MinIO.
Если FRONTEND_PUBLIC_URL использует HTTPS, S3_PUBLIC_ENDPOINT также должен использовать HTTPS, иначе браузер может заблокировать файловые запросы как mixed content. При одном DNS-имени задайте разные порты, например https://l1.example.org для frontend и https://l1.example.org:9443 для S3. Нельзя указывать одинаковый адрес для frontend и S3: оба сервиса используют корневые URL и не разделяются дополнительным путём.
При локальном reverse proxy оставьте FRONTEND_BIND_ADDRESS=127.0.0.1 и MINIO_API_BIND_ADDRESS=127.0.0.1. Значение 0.0.0.0 используйте только для временного прямого HTTP-доступа или когда доступ к портам отдельно ограничен внешним межсетевым экраном.
Сервис minio-mc при запуске автоматически создаёт приватный бакет S3_BUCKET, технического пользователя S3_ACCESS_KEY и назначает ему политику readwrite. Backend работает с хранилищем под этим техническим пользователем. Пара MINIO_ROOT_USER/MINIO_ROOT_PASSWORD используется для администрирования MinIO и первоначальной настройки; не используйте её вместо S3_ACCESS_KEY/S3_SECRET_KEY.
S3_ENDPOINT и S3_PUBLIC_ENDPOINT не взаимозаменяемы. Публичный адрес должен быть доступен с каждого рабочего места пользователя. Подключение внешнего S3-совместимого хранилища требует отдельной конфигурации Compose и не входит в штатную схему развёртывания.
Аутентификация и шифрование
| Переменная | Назначение | Пример |
|---|---|---|
JWT_SECRET | Секрет подписи JWT. | <случайный_секрет> |
ACCESS_TOKEN_TTL | Время жизни access token. | 5m |
REFRESH_TOKEN_TTL | Время жизни refresh token. | 720h |
PASSWORD_RESET_TOKEN_TTL | Время жизни токена восстановления пароля. | 30m |
APP_SECRETS_KEY | Base64-ключ шифрования настроек. | результат openssl rand -base64 32 |
APP_TOTP_ISSUER | Название в приложении-аутентификаторе. | Л1 Первая Линия Техподдержки |
Значение
APP_SECRETS_KEYдолжно декодироваться в 32 байта. Его потеря или несогласованная замена сделает сохранённые зашифрованные пароли интеграций недоступными.
Файловый модуль
| Переменная | Назначение | Пример |
|---|---|---|
FILES_CONFIG_PATH | Путь к конфигурации файлов внутри контейнера. | config/files.json |
FILES_CONFIG_RELOAD_INTERVAL | Интервал перечитывания конфигурации. | 30s |
FILES_MAX_SIZE_BYTES | Максимальный размер одного файла. | 500mb |
FILES_MULTIPART_THRESHOLD_BYTES | Порог multipart-загрузки. | 50mb |
FILES_MULTIPART_PART_SIZE_BYTES | Размер части multipart-загрузки. | 16mb |
FILES_UPLOAD_URL_TTL_SECONDS | Время жизни ссылки на загрузку. | 3600 |
FILES_DOWNLOAD_URL_TTL_SECONDS | Время жизни ссылки на скачивание. | 300 |
FILES_CLEANUP_INTERVAL | Интервал очистки незавершённых загрузок. | 20m |
FILES_CLEANUP_BATCH_SIZE | Размер пачки при очистке. | 100 |
Ограничение размера запроса на reverse proxy должно быть не меньше FILES_MAX_SIZE_BYTES.
Интеграции и фоновые обработчики
| Переменная | Назначение | Пример |
|---|---|---|
APPEARANCE_CONFIG_PATH | Конфигурация внешнего вида. | config/appearance.json |
NOTIFICATION_TEMPLATES_CONFIG_PATH | Шаблоны уведомлений. | config/notification_templates.json |
NOTIFICATION_TEMPLATES_RELOAD_INTERVAL | Интервал перечитывания шаблонов. | 30s |
DADATA_DEFAULT_TOKEN | Токен DaData. | пусто |
DADATA_BASE_URL | Адрес API DaData. | https://suggestions.dadata.ru |
DADATA_TIMEOUT | Тайм-аут обращения к DaData. | 5s |
DADATA_CONFIG_PATH | Конфигурация DaData. | config/dadata.json |
DADATA_CONFIG_RELOAD_INTERVAL | Интервал перечитывания конфигурации. | 30s |
EMAIL_WORKERS_ENABLED | Обработка электронной почты. | true |
EMAIL_IMAP_POLL_INTERVAL | Интервал проверки входящей почты. | 30s |
EMAIL_OUTBOUND_POLL_INTERVAL | Интервал отправки исходящей почты. | 30s |
EMAIL_WORKER_BATCH_SIZE | Размер пачки почтовых сообщений. | 100 |
EMAIL_LOCK_TIMEOUT | Время блокировки почтовой задачи. | 15m |
SLA_WORKER_ENABLED | Обработка SLA. | true |
SLA_POLL_INTERVAL | Интервал обработки SLA. | 30s |
SLA_WORKER_BATCH_SIZE | Размер пачки SLA-записей. | 100 |
REPORTS_EXPORT_RETENTION | Срок хранения выгруженных отчётов. | 720h |
REPORTS_EXPORT_MAX_PER_USER | Максимум выгрузок на пользователя. | 50 |
REPORTS_EXPORT_CLEANUP_INTERVAL | Интервал очистки истории выгрузок. | 1h |
REPORTS_EXPORT_CLEANUP_BATCH_SIZE | Размер пачки при очистке выгрузок. | 100 |
Параметры конкретных LDAP, IMAP и SMTP-подключений задаются в интерфейсе системы. До их включения обеспечьте сетевые доступы, перечисленные в системных требованиях.