Red Hat Quay の Clair による脆弱性レポート

1. PSK。この認証設定により、Clair は事前共有キーを使用して JWT ベースの認証を実装します。

2. 設定以下に例を示します。

   auth:
     psk:
       key: >-
         MDQ4ODBlNDAtNDc0ZC00MWUxLThhMzAtOTk0MzEwMGQwYTMxCg==
       iss: 'issuer'

   Copy to Clipboard Toggle word wrap

   この設定では、auth フィールドに 2 つのパラメーターが必要です。iss は、すべての受信リクエストを検証する発行者であり、key は、リクエストを検証するための base64 コード化された対称鍵です。

手順

1. 次のコマンドを実行して、Red Hat Quay コンテナーを停止します。

   $ sudo podman stop <quay_container_name>

   Copy to Clipboard Toggle word wrap

2. 次のコマンドを実行して、Clair コンテナーを停止します。

   $ sudo podman stop <clair_container_id>

   Copy to Clipboard Toggle word wrap

3. SCLOrg の データ移行 手順から次の Podman プロセスを実行します。これにより、リモート PostgreSQL サーバーからのデータ移行が可能になります。

   $ sudo podman run -d --name <clair_migration_postgresql_database> 

   1

   
     -e POSTGRESQL_MIGRATION_REMOTE_HOST=<container_ip_address> \ 

   2

   
     -e POSTGRESQL_MIGRATION_ADMIN_PASSWORD=remoteAdminP@ssword \
     -v </host/data/directory:/var/lib/pgsql/data:Z> \ 

   3

   
     [ OPTIONAL_CONFIGURATION_VARIABLES ]
     registry.redhat.io/rhel8/postgresql-15

   Copy to Clipboard Toggle word wrap

   1

   Clair PostgreSQL 15 移行データベースの名前を入力します。

   2

   新しい Clair PostgreSQL 15 データベースコンテナーの IP アドレス。sudo podman inspect -f "{{.NetworkSettings.IPAddress}}" postgresql-quay コマンドを実行して取得できます。

   3

   最初の Clair PostgreSQL 13 デプロイメントとは異なるボリュームマウントポイントを指定し、そのディレクトリーのアクセス制御リストを変更する必要があります。以下に例を示します。

   $ mkdir -p /host/data/clair-postgresql15-directory

   Copy to Clipboard Toggle word wrap

   $ setfacl -m u:26:-wx /host/data/clair-postgresql15-directory

   Copy to Clipboard Toggle word wrap

   これにより、新しいコンテナーによってデータが上書きされるのを防ぎます。

4. Clair PostgreSQL 13 コンテナーを停止します。

   $ sudo podman stop <clair_postgresql13_container_name>

   Copy to Clipboard Toggle word wrap

5. PostgreSQL の移行が完了したら、手順 3 の新しいデータボリュームマウントを使用して、Clair PostgreSQL 15 コンテナーを実行します (例: </host/data/clair-postgresql15-directory:/var/lib/postgresql/data>)。

   $ sudo podman run -d --rm --name <postgresql15-clairv4> \
     -e POSTGRESQL_USER=<clair_username> \
     -e POSTGRESQL_PASSWORD=<clair_password> \
     -e POSTGRESQL_DATABASE=<clair_database_name> \
     -e POSTGRESQL_ADMIN_PASSWORD=<admin_password> \
     -p 5433:5432 \
     -v </host/data/clair-postgresql15-directory:/var/lib/postgresql/data:Z> \
       registry.redhat.io/rhel8/postgresql-15

   Copy to Clipboard Toggle word wrap

6. 次のコマンドを実行して、Red Hat Quay コンテナーを起動します。

   $ sudo podman run -d --rm -p 80:8080 -p 443:8443 --name=quay \
   -v /home/<quay_user>/quay-poc/config:/conf/stack:Z \
   -v /home/<quay_user>/quay-poc/storage:/datastorage:Z \
   {productrepo}/{quayimage}:{productminv}

   Copy to Clipboard Toggle word wrap

7. 次のコマンドを実行して Clair コンテナーを起動します。

   $ sudo podman run -d --name clairv4 \
   -p 8081:8081 -p 8088:8088 \
   -e CLAIR_CONF=/clair/config.yaml \
   -e CLAIR_MODE=combo \
   registry.redhat.io/quay/clair-rhel8:{productminv}

   Copy to Clipboard Toggle word wrap

手順

1. 以下のコマンドを実行して、Clair が実行されている場合は停止します。

   $ podman stop <clairv4_container_name>

   Copy to Clipboard Toggle word wrap

2. アップストリームのリポジトリー に移動し、使用する Clair のバージョンを見つけて、ローカルマシンにプルします。以下に例を示します。

   $ podman pull quay.io/projectquay/clair:nightly-2024-02-03

   Copy to Clipboard Toggle word wrap

3. コンテナーイメージを使用して Clair を起動し、作成したファイルから設定にマウントします。

   $ podman run -d --name clairv4 \
   -p 8081:8081 -p 8088:8088 \
   -e CLAIR_CONF=/clair/config.yaml \
   -e CLAIR_MODE=combo \
   -v /etc/opt/clairv4/config:/clair:Z \
   quay.io/projectquay/clair:nightly-2024-02-03

   Copy to Clipboard Toggle word wrap

手順

1. 次のコマンドを入力して、clair-config.yaml を含む Quay 設定バンドルシークレットを作成します。

   $ oc create secret generic --from-file config.yaml=./config.yaml --from-file extra_ca_cert_rds-ca-2019-root.pem=./rds-ca-2019-root.pem --from-file clair-config.yaml=./clair-config.yaml --from-file ssl.cert=./ssl.cert --from-file ssl.key=./ssl.key config-bundle-secret

   Copy to Clipboard Toggle word wrap

   Clair config.yaml ファイルの例

   indexer:
       connstring: host=quay-server.example.com port=5432 dbname=quay user=quayrdsdb password=quayrdsdb sslrootcert=/run/certs/rds-ca-2019-root.pem sslmode=verify-ca
       layer_scan_concurrency: 6
       migrations: true
       scanlock_retry: 11
   log_level: debug
   matcher:
       connstring: host=quay-server.example.com port=5432 dbname=quay user=quayrdsdb password=quayrdsdb sslrootcert=/run/certs/rds-ca-2019-root.pem sslmode=verify-ca
       migrations: true
   metrics:
       name: prometheus
   notifier:
       connstring: host=quay-server.example.com port=5432 dbname=quay user=quayrdsdb password=quayrdsdb sslrootcert=/run/certs/rds-ca-2019-root.pem sslmode=verify-ca
       migrations: true

   Copy to Clipboard Toggle word wrap

   注記
   • データベース証明書は、clair-config.yaml の Clair アプリケーション Pod の /run/certs/rds-ca-2019-root.pem の下にマウントされます。clair-config.yaml を設定するときに指定する必要があります。
   • clair-config.yaml の例は、OpenShift 設定の Clair に あります。

2. clair-config.yaml ファイルをバンドルシークレットに追加します。次に例を示します。

   apiVersion: v1
   kind: Secret
   metadata:
     name: config-bundle-secret
     namespace: quay-enterprise
   data:
     config.yaml: <base64 encoded Quay config>
     clair-config.yaml: <base64 encoded Clair config>
     extra_ca_cert_<name>: <base64 encoded ca cert>
     ssl.crt: <base64 encoded SSL certificate>
     ssl.key: <base64 encoded SSL private key>

   Copy to Clipboard Toggle word wrap
   注記

   更新すると、提供された clair-config.yaml ファイルが Clair Pod にマウントされます。提供されていないフィールドには、Clair 設定モジュールを使用してデフォルトが自動的に入力されます。

3. Build History ページでコミットをクリックするか、oc get pods -n <namespace> を実行して、Clair Pod のステータスを確認できます。以下に例を示します。

   $ oc get pods -n <namespace>

   Copy to Clipboard Toggle word wrap

   出力例

   NAME                                               READY   STATUS    RESTARTS   AGE
   f192fe4a-c802-4275-bcce-d2031e635126-9l2b5-25lg2   1/1     Running   0          7s

   Copy to Clipboard Toggle word wrap

手順

1. 次のコマンドを入力して、clair-config.yaml を含む Quay 設定バンドルシークレットを作成します。

   $ oc create secret generic --from-file config.yaml=./config.yaml --from-file extra_ca_cert_rds-ca-2019-root.pem=./rds-ca-2019-root.pem --from-file clair-config.yaml=./clair-config.yaml config-bundle-secret

   Copy to Clipboard Toggle word wrap

   Clair config.yaml ファイルの例

   indexer:
       connstring: host=quay-server.example.com port=5432 dbname=quay user=quayrdsdb password=quayrdsdb sslmode=disable
       layer_scan_concurrency: 6
       migrations: true
       scanlock_retry: 11
   log_level: debug
   matcher:
       connstring: host=quay-server.example.com port=5432 dbname=quay user=quayrdsdb password=quayrdsdb sslmode=disable
       migrations: true
   metrics:
       name: prometheus
   notifier:
       connstring: host=quay-server.example.com port=5432 dbname=quay user=quayrdsdb password=quayrdsdb sslmode=disable
       migrations: true

   Copy to Clipboard Toggle word wrap

   注記
   • データベース証明書は、clair-config.yaml の Clair アプリケーション Pod の /run/certs/rds-ca-2019-root.pem の下にマウントされます。clair-config.yaml を設定するときに指定する必要があります。
   • clair-config.yaml の例は、OpenShift 設定の Clair に あります。

2. clair-config.yaml ファイルをバンドルシークレットに追加します。次に例を示します。

   apiVersion: v1
   kind: Secret
   metadata:
     name: config-bundle-secret
     namespace: quay-enterprise
   data:
     config.yaml: <base64 encoded Quay config>
     clair-config.yaml: <base64 encoded Clair config>

   Copy to Clipboard Toggle word wrap
   注記
   • 更新すると、提供された clair-config.yaml ファイルが Clair Pod にマウントされます。提供されていないフィールドには、Clair 設定モジュールを使用してデフォルトが自動的に入力されます。

3. Build History ページでコミットをクリックするか、oc get pods -n <namespace> を実行して、Clair Pod のステータスを確認できます。以下に例を示します。

   $ oc get pods -n <namespace>

   Copy to Clipboard Toggle word wrap

   出力例

   NAME                                               READY   STATUS    RESTARTS   AGE
   f192fe4a-c802-4275-bcce-d2031e635126-9l2b5-25lg2   1/1     Running   0          7s

   Copy to Clipboard Toggle word wrap