Установка SQL REST Proxy сервиса

Версия 12.1 от PROSTO:СКУД на 2026/07/22 08:43

1. Описание сервиса

SQL REST Proxy — лёгкий REST-сервис на Python, разработанный как замена прямым вызовам SQL через ADODB.Connection в конфигурациях 1С, работающих на Linux. Поскольку COM-объекты и нативные ODBC-драйверы недоступны на Linux-платформе 1С:Предприятие, этот сервис позволяет выполнять произвольные SQL-запросы к внешним базам данных через стандартный HTTP-вызов из встроенного языка 1С.

Поддерживаемые СУБД

СУБД	Драйвер	Порт по умолчанию
PostgreSQL	psycopg2	5432
Microsoft SQL Server	pymssql	1433
MySQL	PyMySQL	3306

Режим развёртывания
Сервис запускается в Docker-контейнере и не требует установки каких-либо драйверов в хост-систему. Управление через docker-compose.

Безопасность
- Аутентификация по API-ключу (X-API-Key заголовок)
- HTTPS/TLS с поддержкой собственного сертификата
- Параметризованные запросы исключают SQL-инъекции

Мониторинг
Эндпоинт /metrics предоставляет метрики в формате Prometheus. Готовый конфиг prometheus.yml для сбора метрик включён в поставку. Эндпоинт /pools/stats возвращает детальную статистику по активным пулам соединений.

2. Установка через docker контейнер

Для установки нужно скачать проект с github либо развернуть из архива (p-skud-sql-proxy-service-main.zip находится в каталоге "Модули и ODBC-драйверы" из поставки расширения):

# git clone https://prosto-skud:API_КЛЮЧ_ДЛЯ_ДОСТУПА_К_РЕПОЗИТОРИЮ@github.com/prosto-skud/p-skud-sql-proxy-service.git

Запуск
Переходим в директорию сервиса

# cd p-skud-sql-proxy-service

Генерируем сертификаты

# bash generate_certs.sh

Копируем .env

# cp .env.example .env

И если требуется настраиваем под ваш контур .env

# nano .env

В файле можно изменить:

# API Key для аутентификации запросов
# API_KEY=skud_proxy_19e1d5c545b55bdb3459281bd3a1c06a29c467c5645b3ceb748bb2589a5e0d46

# И порты работы Сервиса
# SERVICE_PORT=8443
# PROMETHEUS_PORT=9090

Поднимаем все сервисы из docker-compose.yml

# docker compose up -d

Проверка

# curl -k https://<server>:8443/health

3. Установка в виде сервиса

# git clone https://prosto-skud:API_КЛЮЧ_ДЛЯ_ДОСТУПА_К_РЕПОЗИТОРИЮ@github.com/prosto-skud/p-skud-sql-proxy-service.git

При разворачивании без Docker необходимо:

На сервере нужна совместимая версия Python, желательно Python 3.11.
2. Нужны системные библиотеки для Python-драйверов БД.
3. Нужно создать виртуальное окружение.
4. Нужно установить зависимости из `requirements.txt`.
5. Нужно создать TLS-сертификаты или указать корпоративные сертификаты.
6. Нужно запускать `uvicorn app.main:app` как обычную службу `systemd`

3.1 Системные зависимости

Т.к. для проекта нужен Python 3.11 или версия, с которой зависимости проекта гарантированно устанавливаются. Если в Astra Linux доступен только более старый Python, согласуйте установку Python 3.11 с администратором безопасности. Не заменяйте системный `/usr/bin/python3`.

Минимальный набор пакетов для онлайн-установки зависимостей:

# sudo apt update
# sudo apt install -y \
#   python3 \
#   python3-venv \
#   python3-pip \
#   python3-dev \
#   build-essential \
#   gcc \
#   g++ \
#   openssl \
#   ca-certificates \
#   freetds-dev \
#   libpq-dev \
#   default-libmysqlclient-dev \
#   pkg-config

Пояснение:

- `freetds-dev` нужен для `pymssql`, который используется для MS SQL Server;
- `libpq-dev` полезен для PostgreSQL-зависимостей;
- `default-libmysqlclient-dev` и `pkg-config` могут понадобиться при сборке MySQL-зависимостей, хотя в проекте используется `PyMySQL`;
- `openssl` нужен для генерации сертификатов;
- `build-essential`, `gcc`, `g++`, `python3-dev` нужны, если какие-то wheels недоступны и зависимость собирается из исходников.

Если какие-то из пакетов недоступны необходимо добавить репозитории.
Например для Astra Linux Special Edition 1.8 x86-64:

# sudo nano /etc/apt/sources.list.d/astra.list

Содержимое:

# deb https://dl.astralinux.ru/astra/stable/1.8_x86-64/main-repository/ 1.8_x86-64 main contrib non-free non-free-firmware
# deb https://dl.astralinux.ru/astra/stable/1.8_x86-64/extended-repository/ 1.8_x86-64 main contrib non-free non-free-firmware

3.2 Пользователь и каталоги

Создать каталоги:

# sudo mkdir -p /opt/sql-proxy
# sudo mkdir -p /etc/sql-proxy/certs
# sudo mkdir -p /var/lib/sql-proxy
# sudo mkdir -p /var/log/sql-proxy

Создать отдельного пользователя:

# sudo addgroup ~~system sqlproxy~~
# sudo adduser \
#    ~~system \~~
#    ~~ingroup sqlproxy \~~
#    ~~home /var/lib/sql-proxy \~~
# ~~no-create-home \~~
# ~~shell /usr/sbin/nologin \~~
# sqlproxy

Дать права а каалоги:

# sudo chown -R root:root /opt/sql-proxy
# sudo chown -R root:sqlproxy /etc/sql-proxy
# sudo chown -R sqlproxy:sqlproxy /var/lib/sql-proxy
# sudo chown -R sqlproxy:sqlproxy /var/log/sql-proxy

# sudo chmod 755 /opt/sql-proxy
# sudo chmod 750 /etc/sql-proxy
# sudo chmod 750 /etc/sql-proxy/certs
# sudo chmod 750 /var/lib/sql-proxy
# sudo chmod 750 /var/log/sql-proxy

3.3 Копирование проекта

Из скачанного проекта необходимо перенести в дирректорию /opt/sql-proxy следующие файлы:
app/
requirements.txt
.env.example
generate_certs.sh

После копирования:
Не делайте владельцем /opt/sql-proxy пользователя sqlproxy на постоянной основе. Для промышленной установки лучше держать код под root:root, а sqlproxy использовать только для запуска сервиса.

# sudo chown -R root:root /opt/sql-proxy
# sudo find /opt/sql-proxy -type d -exec chmod 755 {} \;
# sudo find /opt/sql-proxy -type f -exec chmod 644 {} \;

```

Сделайте скрипт `generate_certs.sh` исполняемым:

# sudo chmod 755 /opt/sql-proxy/generate_certs.sh

И переместите его в каталог /etc/sql-proxy/certs

Далее запустим скрипт `generate_certs.sh` и назначим права на созданные файлы сертификатов

# sudo chown root:sqlproxy /etc/sql-proxy/certs/key.pem /etc/sql-proxy/certs/cert.pem
# sudo chmod 640 /etc/sql-proxy/certs/key.pem
# sudo chmod 644 /etc/sql-proxy/certs/cert.pem

3.4 Создание виртуального окружения

# sudo python3 -m venv /opt/sql-proxy/venv
# sudo /opt/sql-proxy/venv/bin/python -m pip install ~~upgrade pip setuptools wheel~~

Права:

# sudo chown -R root:root /opt/sql-proxy/venv
# sudo chmod -R go-w /opt/sql-proxy/venv

3.5 Онлайн-установка Python-зависимостей

Установка зависимостей:

# sudo /opt/sql-proxy/venv/bin/pip install -r /opt/sql-proxy/requirements.txt

Далее необходимо проверить, что основные модули импортируются:

# sudo /opt/sql-proxy/venv/bin/python -c "import fastapi, uvicorn, sqlalchemy, psycopg2, pymssql, pymysql; print('OK')"

3.6 Настройка конфигурации

В проекте есть `.env.example`. Для промышленного сервера лучше хранить конфигурацию в `/etc/sql-proxy/sql-proxy.env`, а не в каталоге приложения.

Создайте файл:

# sudo nano /etc/sql-proxy/sql-proxy.env

И перенестите в него содержимое из примера (`.env.example`) либо заполните свое:

# API Key для аутентификации запросов
# API_KEY=skud_proxy_19e1d5c545b55bdb3459281bd3a1c06a29c467c5645b3ceb748bb2589a5e0d46

Ограничения
# MAX_ROWS_LIMIT=10000
# DEFAULT_ROWS_LIMIT=1000

Пул соединений
# POOL_SIZE=10
# MAX_OVERFLOW=20
# POOL_TIMEOUT=30
# POOL_RECYCLE=3600
# POOL_PRE_PING=true

Таймауты
# QUERY_TIMEOUT=300
# CONNECTION_TIMEOUT=30

SSL/TLS
# SSL_ENABLED=true
# SSL_CERTFILE=/app/certs/cert.pem
# SSL_KEYFILE=/app/certs/key.pem

Сервис
# SERVICE_PORT=8443
# PROMETHEUS_PORT=9090

Далее назначим права:

# sudo chown root:sqlproxy /etc/sql-proxy/sql-proxy.env
# sudo chmod 640 /etc/sql-proxy/sql-proxy.env

3.6 Настройка запуска через systemd

Создадим unit:

# sudo nano /etc/systemd/system/sql-proxy.service

Содержимое файла:

# [Unit]
# Description=P-SKUD SQL REST Proxy Service
# After=network-online.target
# Wants=network-online.target

[Service]
Type=simple
User=sqlproxy
Group=sqlproxy

WorkingDirectory=/opt/sql-proxy
EnvironmentFile=/etc/sql-proxy/sql-proxy.env
Environment=PYTHONUNBUFFERED=1

ExecStart=/opt/sql-proxy/venv/bin/uvicorn app.main:app host IP_ВАШЕГО_СЕРВЕРА port 8443 ~~ssl-keyfile /etc/sql-proxy/certs/key.pem~~ ssl-certfile /etc/sql-proxy/certs/cert.pem

Restart=on-failure
RestartSec=5
TimeoutStartSec=30
TimeoutStopSec=30

NoNewPrivileges=true
PrivateTmp=true
ProtectHome=true
ProtectSystem=strict
ProtectKernelTunables=true
ProtectKernelModules=true
ProtectControlGroups=true
RestrictSUIDSGID=true
LockPersonality=true
UMask=0027

ReadWritePaths=/var/lib/sql-proxy /var/log/sql-proxy
ReadOnlyPaths=/etc/sql-proxy /opt/sql-proxy

StandardOutput=journal
StandardError=journal

[Install]
WantedBy=multi-user.target
```

Включить службу:

```bash
sudo systemctl daemon-reload
sudo systemctl enable now sql-proxy
```

Проверить:

```bash
sudo systemctl status sql-proxy