glpi-docker-compose-stack
Pila Docker Compose hardening para GLPI 11 con php-fpm separado, nginx, MariaDB PITR, Valkey, ofelia cron y phpbu backups cifrados. Imagen multi-arch firmada con cosign/SLSA.
Ficha actualizada 24 sept 2026, 5:00 · upstream 24 sept 2026, 4:54 · release sin release detectada
Qué es glpi-docker-compose-stack
Descripción editorial construida a partir del repositorio, su documentación y sus señales de mantenimiento.
Esta pila Docker Compose ofrece una implementación de producción para GLPI 11, desacoplando el servidor web nginx del procesador PHP php-fpm mediante socket Unix local. La arquitectura utiliza una imagen hardening basada en Alpine con código read-only, ejecutándose como usuario no root (www-data) y con capacidades dropadas.
La base de datos emplea MariaDB 11 con binlog activado para recuperación punto en el tiempo (PITR), mientras que Valkey actúa como backend de caché compatible con Redis. El sistema incluye un scheduler ofelia para ejecutar tareas cron automáticas cada dos minutos y phpbu para backups nocturnos de base de datos, archivos y claves de cifrado.
La seguridad se refuerza con headers CSP, multi-arch (amd64/arm64), SBOM en imagen, y firmas cosign sin clave. Los volúmenes persistentes separan configuración, logs, plugins y archivos de subida, protegiendo la integridad del sistema.
- Gestión de activos IT (hardware/software) con inventario centralizado
- Seguimiento de incidencias e incidentes en infraestructura TI
- Despliegue seguro de GLPI en entornos multi-tenant o contenerizados
- Integración con marketplace oficial de plugins GLPI vía volumen dedicado
- Arquitectura desacoplada: nginx serve static content, php-fpm procesa requests via socket Unix
- MariaDB binlog + fsync para recuperación punto en el tiempo (PITR)
- Imágenes multi-arch con SLSA provenance y cosign keyless signatures
- Backups cifrados con phpbu incluyendo glpicrypt.key en backup
- Código read-only, non-root user, cap_drop ALL + no-new-privileges
- El scheduler ofelia accede al socket Docker host-wide; requiere aislamiento por stack
- El servicio de backups es opt-in mediante compose profile backup
- Credenciales por defecto (glpi/glpi) deben cambiarse inmediatamente tras el primer arranque
- La imagen base se reconstruye diariamente para CVEs, lo que puede afectar despliegues en entornos con políticas estrictas de inmutabilidad
Perfil de infraestructura
Estimación inicial derivada del repositorio y de los servicios detectados.
Despliegue detectado
Qué señales reales de instalación hemos encontrado.
Usar reverse proxy (Traefik/Caddy) en loopback. Configurar GLPI_HOST y habilitar TLS. Cambiar todas las cuentas por defecto antes de exponer al público. Asegurar que el volumen glpi-config nunca se borre para no perder la clave de cifrado AES. Subir archivos mayores a 64 MB requiere ajustar upload_max_filesize y client_max_body_size.
Stack y dependencias
Componentes inferidos a partir de manifests, configuración y documentación.
Puede sustituir a
Relaciones detectadas por el análisis del repositorio y su categoría.
Experiencia real de la comunidad
Ayuda a contrastar la estimación automática con instalaciones reales.
Todavía no hay datos comunitarios para este proyecto.