容器化邮件服务器（Docker/K8s）如何部署？

基于最小化基础镜像（如 distroless/alpine）构建，非 root 运行容器，固定镜像版本并接入漏洞扫描（Trivy/Grype）。仅在必要时暴露 25/587/465 等 SMTP 端口，其余管理端口限制在集群内或经 Ingress 管控。

TLS 证书、DKIM 私钥、数据库口令等通过 Secret（K8s Secret 或外部 Vault）注入，禁止硬编码进镜像或仓库。配置（main.cf 等）与密钥分离，使用 ConfigMap 管理非敏感配置，采用不可变基础设施思路。

邮件队列、邮箱数据、日志须挂载 PersistentVolume，并按存储类做备份（快照 + 异地拷贝）。用 NetworkPolicy 限制 Pod 间通信，仅允许网关→MTA→存储的必需流向；对入站 SMTP 配置资源配额（CPU/内存 limit）防止资源耗尽。

• 挂载 sidecar 收集日志到平台，暴露 /healthz 供探针。
• 用 Deployment 的 滚动更新与就绪探针保证零中断升级。
• 对接 TLS 终止（Ingress/证书管理器）与 DMARC 报告收集服务。