Apache James 3.9.0 专属域名邮箱数据加密存储配置指南

为保障邮件数据安全，避免泄露，需通过文件系统加密和数据库加密实现存储层防护。以下是具体配置方案：

一、邮件存储加密方案

Apache James 默认存储路径为 ./var/mail，需结合操作系统级加密工具实现。

1. 创建加密存储卷（以 LUKS 为例）

   # 创建加密卷（20GB示例）
   sudo cryptsetup luksFormat /dev/sdb1
   sudo cryptsetup open /dev/sdb1 james_encrypted
   sudo mkfs.ext4 /dev/mapper/james_encrypted
   
   # 挂载到 James 存储目录
   sudo mount /dev/mapper/james_encrypted /opt/james/var/mail
   

2. 修改 James 配置文件 编辑 conf/james-server.xml：

   <repository>
     <destination>
       <fileSystem>
         <!-- 指向加密卷挂载路径 -->
         <repositoryRoot>file:///opt/james/var/mail</repositoryRoot>
       </fileSystem>
     </destination>
   </repository>
   

二、数据库加密方案（若使用数据库存储）

适用于 users、mailboxes 等元数据表（以 PostgreSQL + pgcrypto 为例）。

1. 启用数据库加密

   -- 安装扩展
   CREATE EXTENSION pgcrypto;
   
   -- 加密用户密码字段示例
   ALTER TABLE james_user ADD COLUMN password_enc BYTEA;
   UPDATE james_user SET password_enc = pgp_sym_encrypt(password, 'YourSecretKey');
   ALTER TABLE james_user DROP COLUMN password;
   

2. 配置 James 数据源 在 conf/james-server.xml 中启用加密连接：

   <data-source name="james-db" driver="org.postgresql.Driver">
     <url>jdbc:postgresql://localhost:5432/james?ssl=true&sslmode=require</url>
     <username>james_admin</username>
     <password>ENCRYPTED_PASSWORD</password> <!-- 使用环境变量注入 -->
   </data-source>
   

三、传输层加固

1. 启用 TLS 加密 在 conf/smtpserver.xml 中：

   <tls socketTLS="true" startTLS="true">
     <keystore>file://conf/keystore</keystore>
     <secret>james_password</secret>
   </tls>
   

2. 强制加密协议 在 conf/imapserver.xml 中：

   <tls startTLS="true" socketTLS="true"/>
   <ssl>true</ssl>
   

四、密钥安全管理

1. 密钥存储建议

   • 使用 HashiCorp Vault 或 AWS KMS 管理密钥
   • 禁止在配置文件中硬编码密钥
   • 通过环境变量注入密钥：

     export JAMES_ENCRYPT_KEY="dynamic_secret"
     

2. 定期轮换策略

   # 每月轮换加密卷密钥
   sudo cryptsetup luksChangeKey /dev/sdb1
   

验证步骤

1. 发送测试邮件后检查存储文件：

   sudo file /opt/james/var/mail/domain/user/-cur/* 
   # 应显示 "LUKS encrypted file"
   

2. 查询数据库密文：

   SELECT pgp_sym_decrypt(password_enc, 'YourSecretKey') FROM james_user;
   

注意：

• 备份时需先解密存储卷
• 定期审计文件权限（建议 chmod 600）
• 完整文档参考：Apache James 安全指南

此方案通过存储层加密、传输加密和密钥生命周期管理，实现端到端邮件数据防护。