2.5. アップデーターの設定

アップデーターは clair-config.yaml ファイルの updaters.sets キーによって設定できます。

重要

sets フィールドが入力されていない場合、デフォルトですべてのセットが使用されます。すべてのセットを使用する場合、Clair は各アップデーターの URL にアクセスしようとします。プロキシー環境を使用している場合は、これらの URL をプロキシー許可リストに追加する必要があります。
アップデーターがマッチャープロセス内で自動的に実行されている場合 (デフォルトの設定)、アップデーターを実行する期間はマッチャーの設定フィールドで設定されます。

2.5.1. 特定のアップデーターセットの選択

以下を参考に、Red Hat Quay デプロイメント用の 1 つまたは複数のアップデーターを選択してください。

複数のアップデーター用に Clair を設定する

複数の特定のアップデーター

#...
updaters:
  sets:
    - alpine
    - aws
    - osv
#...

Alpine 用の Clair の設定

Alpine の config.yaml の例

#...
updaters:
  sets:
    - alpine
#...

AWS 用の Clair の設定

AWS の config.yaml の例

#...
updaters:
  sets:
    - aws
#...

Debian 用の Clair の設定

Debian の config.yaml の例

#...
updaters:
  sets:
    - debian
#...

Clair CVSS 用の Clair の設定

Clair CVSS の config.yaml の例

#...
updaters:
  sets:
    - clair.cvss
#...

Oracle 用の Clair の設定

Oracle の config.yaml の例

#...
updaters:
  sets:
    - oracle
#...

Photon 用の Clair の設定

Photon の config.yaml の例

#...
updaters:
  sets:
    - photon
#...

SUSE 用の Clair の設定

SUSE の config.yaml の例

#...
updaters:
  sets:
    - suse
#...

Ubuntu 用の Clair の設定

Ubuntu の config.yaml の例

#...
updaters:
  sets:
    - ubuntu
#...

OSV 用の Clair の設定

OSV の config.yaml の例

#...
updaters:
  sets:
    - osv
#...

2.5.2. Red Hat Enterprise Linux (RHEL) のすべての脆弱性を対象とするようにアップデーターセットを選択する

Red Hat Enterprise Linux (RHEL) のすべての脆弱性を対象とするには、次のアップデーターセットを使用する必要があります。

rhel。このアップデーターは、RHEL に影響を与える脆弱性に関する最新情報を提供します。
rhcc。このアップデーターは、Red Hat のコンテナーイメージに関連する脆弱性を追跡します。
clair.cvss。このアップデーターは、Common Vulnerabilities and Exposures (CVE) スコアを提供し、脆弱性の重大度とリスク評価の全体像を提供します。
osv。このアップデーターは、オープンソースソフトウェアコンポーネントの脆弱性の追跡に特化しています。RHEL 製品では Java と Go がよく使用されているため、このアップデーターが推奨されます。

RHEL アップデーターの例

#...
updaters:
  sets:
    - rhel
    - rhcc
    - clair.cvss
    - osv
#...

2.5.3. 高度なアップデーター設定

場合によっては、特定の動作に合わせてアップデーターを設定する必要があります。たとえば、Open Source Vulnerabilities (OSV) アップデーター用に特定のエコシステムを許可リストに登録する場合などです。

高度なアップデータ設定は、プロキシーデプロイメントまたはエアギャップデプロイメントで役立つ場合があります。このような環境用の特定のアップデーター設定は、updaters オブジェクトの config 環境変数の下にキーを配置することで渡すことができます。Clair のログを調べて名前を再確認してください。

次の YAML スニペットで、一部の Clair アップデーターで利用できるさまざまな設定を詳しく説明します。

重要

ユーザーの増加に合わせて高度なアップデーター設定を行う必要はありません。

alpine アップデーターの設定

#...
updaters:
  sets:
    - apline
  config:
    alpine:
      url: https://secdb.alpinelinux.org/
#...

debian アップデーターの設定

#...
updaters:
  sets:
    - debian
  config:
    debian:
      mirror_url: https://deb.debian.org/
      json_url: https://security-tracker.debian.org/tracker/data/json
#...

clair.cvss アップデーターの設定

#...
updaters:
  config:
    clair.cvss:
      url: https://nvd.nist.gov/feeds/json/cve/1.1/
#...

oracle アップデーターの設定

#...
updaters:
  sets:
    - oracle
  config:
    oracle-2023-updater:
      url:
        - https://linux.oracle.com/security/oval/com.oracle.elsa-2023.xml.bz2
    oracle-2022-updater:
      url:
        - https://linux.oracle.com/security/oval/com.oracle.elsa-2022.xml.bz2
#...

photon アップデーターの設定

#...
updaters:
  sets:
    - photon
  config:
    photon:
      url: https://packages.vmware.com/photon/photon_oval_definitions/
#...

rhel アップデーターの設定

#...
updaters:
  sets:
    - rhel
  config:
    rhel:
      url: https://access.redhat.com/security/data/oval/v2/PULP_MANIFEST
      ignore_unpatched: true 1
#...

1: ブール値。対応するパッチや更新が利用できない脆弱性に関する情報を含めるかどうか。

rhcc アップデーターの設定

#...
updaters:
  sets:
    - rhcc
  config:
    rhcc:
      url: https://access.redhat.com/security/data/metrics/cvemap.xml
#...

suse アップデーターの設定

#...
updaters:
  sets:
    - suse
  config:
    suse:
      url: https://support.novell.com/security/oval/
#...

ubuntu アップデーターの設定

#...
updaters:
  config:
    ubuntu:
      url: https://api.launchpad.net/1.0/
      name: ubuntu
      force: 1
        - name: focal 2
          version: 20.04 3
#...

1: API レスポンスのステータスに関係なく、生成される UpdaterSet に特定のディストリビューションとバージョンの詳細を強制的に含めるために使用します。特定のディストリビューションとバージョンがアップデーター設定に一貫して含まれていることを確認する場合に便利です。
2: UpdaterSet に強制的に含めるディストリビューション名を指定します。
3: UpdaterSet に強制的に含めるディストリビューションのバージョンを指定します。

osv アップデーターの設定

#...
updaters:
  sets:
    - osv
  config:
    osv:
      url: https://osv-vulnerabilities.storage.googleapis.com/
      allowlist: 1
        - npm
        - pypi
#...

1: 許可するエコシステムのリスト。未設定のままにすると、すべてのエコシステムが許可されます。小文字を使用する必要があります。サポートされているエコシステムのリストは、定義されているエコシステムのドキュメントを参照してください。

2.5.4. Clair アップデーターコンポーネントの無効化

一部のシナリオでは、Clair アップデーターコンポーネントを無効にする場合があります。切断された環境で Red Hat Quay を実行する場合は、アップデーターを無効にする必要があります。

次の例では、Clair アップデーターが無効になっています。

#...
matcher:
  disable_updaters: true
#...

トップに戻る