企业档案保密难？零门槛自建加密存储系统实操

前置环境准备

本方案采用 Docker 容器化部署 Nextcloud（开源私有云标杆），配合 Caddy 自动实现 HTTPS 加密传输，并开启 Nextcloud 服务端的 At-rest Encryption（静态加密）模块。这意味着即使黑客物理拖走了你的服务器硬盘，没有密钥也无法还原出档案原文。

你需要准备以下环境：

• 服务器： 一台安装了 Ubuntu 20.04 或 22.04 的云服务器或本地物理服务器（建议配置 2核4G 以上，硬盘根据档案量配置）。
• 域名： 一个已解析到服务器 IP 的域名（用于申请 SSL 证书，实现全站 HTTPS）。
• 权限： root 用户权限。

第一步：安装 Docker 及 Docker Compose

首先更新系统源并安装必要的依赖工具，随后安装 Docker 和 Docker Compose。执行以下命令：

1. 更新系统并安装工具：

```bash apt update && apt upgrade -y apt install -y curl wget git ```

2. 安装 Docker：

使用官方一键安装脚本，确保版本为最新稳定版：

```bash curl -fsSL https://get.docker.com | bash systemctl enable --now docker ```

3. 安装 Docker Compose：

```bash curl -L "https://github.com/docker/compose/releases/latest/download/docker-compose-$(uname -s)-$(uname -m)" -o /usr/local/bin/docker-compose chmod +x /usr/local/bin/docker-compose ```

4. 验证安装：

```bash docker --version docker-compose --version ```

第二步：创建项目目录与配置文件

为了规范管理，我们在服务器根目录下创建 /data/nextcloud 目录用于存放所有数据和配置文件。

1. 创建目录结构：

```bash mkdir -p /data/nextcloud/{html,db,caddy,redis} cd /data/nextcloud ```

2. 创建 .env 环境变量文件：

为了方便后期维护密码，我们将数据库密码等敏感信息提取到环境变量中。请务必修改下方的 MYSQL_PASSWORD 和 REDIS_PASSWORD 为复杂的随机字符串。

```bash cat > .env << EOF MYSQL_ROOT_PASSWORD=root_secure_password_change_me MYSQL_PASSWORD=nc_secure_password_change_me MYSQL_DATABASE=nextcloud MYSQL_USER=nextcloud REDIS_PASSWORD=redis_secure_password_change_me EOF ```

3. 编写 docker-compose.yml：

这是本方案的核心配置文件。我们定义了四个服务：数据库、缓存、应用服务、反向代理。请将文件中的 your-domain.com 替换为你真实的域名。

```bash cat > docker-compose.yml << EOF version: '3' services: 数据库服务 db: image: mariadb:10.6 container_name: nextcloud_db restart: always command: --transaction-isolation=READ-COMMITTED --log-bin=binlog --binlog-format=ROW volumes: - ./db:/var/lib/mysql environment: - MYSQL_ROOT_PASSWORD=${MYSQL_ROOT_PASSWORD} - MYSQL_PASSWORD=${MYSQL_PASSWORD} - MYSQL_DATABASE=${MYSQL_DATABASE} - MYSQL_USER=${MYSQL_USER} networks: - nextcloud_network Redis 缓存服务 redis: image: redis:alpine container_name: nextcloud_redis restart: always command: redis-server --requirepass ${REDIS_PASSWORD} networks: - nextcloud_network Nextcloud 主应用服务 app: image: nextcloud:25 container_name: nextcloud_app restart: always ports: - 8080:80 volumes: - ./html:/var/www/html environment: - MYSQL_HOST=db - REDIS_HOST=redis - MYSQL_PASSWORD=${MYSQL_PASSWORD} - MYSQL_DATABASE=${MYSQL_DATABASE} - MYSQL_USER=${MYSQL_USER} - OVERWRITEPROTOCOL=https depends_on: - db - redis networks: - nextcloud_network Caddy 反向代理（自动HTTPS） caddy: image: caddy:latest container_name: nextcloud_caddy restart: always ports: - 80:80 - 443:443 volumes: - ./caddy/Caddyfile:/etc/caddy/Caddyfile - ./caddy/data:/data - ./caddy/config:/config networks: - nextcloud_network networks: nextcloud_network: driver: bridge EOF ```

4. 配置 Caddy 反向代理：

Caddy 会自动向 Let's Encrypt 申请证书并续期，无需手动操作。创建 Caddyfile 并填入以下内容（替换域名）：

```bash cat > caddy/Caddyfile << EOF your-domain.com { 启用 HSTS 增强安全性 header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" 反向代理到 Nextcloud 容器 reverse_proxy app:80 处理 WebSocket (如果使用在线办公) reverse_proxy /ws app:80 } EOF ```

第三步：启动服务与初始化

配置文件准备就绪后，即可拉取镜像并启动容器。

1. 启动所有容器：

```bash docker-compose up -d ```

2. 查看容器运行状态：

确保所有服务的 Status 均为 Up。初次启动需要下载镜像，可能需要几分钟。

```bash docker-compose ps ```

3. 初始化 Nextcloud：

打开浏览器，访问你的域名 https://your-domain.com。你将看到 Nextcloud 初始化界面。

• 创建管理员账号： 设置一个高强度的管理员密码。
• 数据目录： 保持默认（/var/www/html/data），无需修改。
• 数据库配置： 点击“存储与数据库”，选择“MySQL/MariaDB”。
• 填写数据库信息：
  • 数据库用户：nextcloud
  • 数据库密码：填写 .env 文件中设置的 MYSQL_PASSWORD
  • 数据库名：nextcloud
  • 数据库主机：db（注意：这里填容器名，不是 localhost）

点击“安装完成”。系统将自动初始化表结构，进入管理后台。

第四步：开启服务器端核心加密

这是实现“高保密”的关键步骤。默认情况下 Nextcloud 仅对传输加密（HTTPS），文件在服务器硬盘上是明文存储的。我们需要启用 Default encryption module。

1. 启用加密应用：

以管理员身份登录 Nextcloud。点击右上角头像（用户图标） -> 应用。

• 在左侧菜单选择“你的应用”。
• 在“已禁用”的应用列表中，找到 Default encryption module。
• 点击“启用”按钮。

2. 配置加密模块：

启用后，点击右上角头像 -> 管理设置。

• 在左侧侧边栏找到并点击 加密（如果没有，请刷新页面）。
• 勾选 启用服务器端加密。

3. 生成主加密密钥：

系统会提示“从旧文件存储模块加密所有数据”或直接开始加密。如果是全新安装，建议直接点击“开始加密”。

注意： 此过程会将服务器上现有的所有文件进行加密重写。如果数据量巨大，耗时较长，请勿关闭浏览器。加密完成后，所有上传到服务器的档案文件都将以乱码形式存储在硬盘上，只有通过拥有正确密钥的 Nextcloud 界面才能解密查看。

4. 备份加密密钥（至关重要）：

一旦开启加密，config.php 文件中的密钥将变得至关重要。如果丢失此文件，所有数据将永久无法解密。请务必执行以下备份操作：

```bash 备份 Nextcloud 配置文件（包含密钥） cp /data/nextcloud/html/config/config.php /data/nextcloud/config_backup_$(date +%Y%m%d).php 备份 .env 文件（包含数据库密码） cp /data/nextcloud/.env /data/nextcloud/env_backup_$(date +%Y%m%d).txt ```

建议将这两个备份文件下载到本地物理介质（如加密U盘）进行离线保存，不要只存在服务器上。

第五步：系统安全加固策略

为了防止暴力破解和未授权访问，我们需要配置防火墙和 Nextcloud 的安全策略。

1. 配置 UFW 防火墙：

仅开放 SSH、HTTP 和 HTTPS 端口，封锁其他所有端口。

```bash 安装 ufw apt install -y ufw 默认拒绝所有入站 ufw default deny incoming 允许出站 ufw default allow outgoing 允许 SSH (注意：如果你修改了默认SSH端口，请在此处替换) ufw allow 22/tcp 允许 Web 流量 ufw allow 80/tcp ufw allow 443/tcp 启用防火墙 ufw enable ```

2. 强制启用 HTTPS：

虽然 Caddy 已经强制跳转，但为了保险起见，在 Nextcloud 配置文件中强制启用。编辑 /data/nextcloud/html/config/config.php，在 $CONFIG = array ( 内部添加或修改以下行：

```php 'overwrite.cli.url' => 'https://your-domain.com', 'overwriteprotocol' => 'https', 'force_ssl' => true, ```

修改后重启 Nextcloud 容器使配置生效：

```bash docker-compose restart app ```

3. 启用双因素认证（2FA）：

回到 Nextcloud 网页后台，点击“应用” -> “安全性”，启用 Two Factor Provider TOTP（支持 Google Authenticator 等应用）。启用后，在“管理设置” -> “安全”中，强制要求所有管理员组用户启用 2FA，确保账号密码泄露后黑客仍无法登录。

实操总结与维护建议

至此，一套符合企业级保密要求的档案管理系统已搭建完成。所有数据传输链路均经过 SSL 加密，服务器硬盘上的文件均经过 AES-256 加密存储。

日常维护建议：

• 定期备份： 使用 cron 定时任务执行 `docker-compose exec db mysqldump -u nextcloud -p${MYSQL_PASSWORD} nextcloud > backup.sql`，并同步备份 /data/nextcloud/html 目录。
• 更新镜像： 关注 Nextcloud 官方安全公告，定期执行 `docker-compose pull` 和 `docker-compose up -d` 更新镜像。
• 监控日志： 使用 `docker-compose logs -f` 查看服务日志，关注异常登录尝试。