Red Hat Summit6.6. Red Hat Quay の Clair
Clair v4 (Clair) は、静的コード分析を活用してイメージコンテンツを解析し、コンテンツに影響を与える脆弱性を報告するオープンソースアプリケーションです。Clair は Red Hat Quay にパッケージ化されており、スタンドアロンと Operator デプロイメントの両方で使用できます。エンタープライズ環境に合わせてコンポーネントを個別にスケーリングできる、非常にスケーラブルな設定で実行できます。
6.6.1. Clair の問題のトラブルシューティング
Clair のトラブルシューティングを行うには、次の手順を使用します。
6.6.1.1. イメージの互換性を確認する
Clair を使用している場合は、スキャンしようとしているイメージが Clair でサポートされていることを確認してください。Clair には特定の要件があり、すべてのイメージ形式や設定をサポートしているわけではありません。
詳細は、Clair 脆弱性データベース を参照してください。
6.6.1.2. Clair アップデーターの許可リストへの登録
プロキシー設定の背後で Clair を使用している場合は、プロキシーまたはファイアウォール設定でアップデータを許可リストに登録する必要があります。アップデーター URL の詳細は、Clair アップデーター URL を参照してください。
6.6.1.3. Clair スキャナーとその依存関係の更新
最新バージョンの Clair セキュリティースキャナーを使用していることを確認してください。古いバージョンには、新しいイメージ形式のサポートがないか、既知の問題が存在する可能性があります。
Clair のバージョンを確認するには、次の手順を使用します。
Clair ログの確認は、Clair ログにアップデータマイクロサービスからのエラーがあるかどうかを確認するためにも使用できます。デフォルトでは、Clair は脆弱性データベースを 30 分ごとに更新します。
手順
Clair のバージョンを確認してください。
Red Hat Quay Operator で Clair を実行している場合は、次のコマンドを入力します。
$ oc logs clair-pod
Red Hat Quay のスタンドアロンデプロイメントを実行し、Clair コンテナーを使用している場合は、次のコマンドを入力します。
$ podman logs clair-container
出力例
"level":"info", "component":"main", "version":"v4.5.1",
6.6.1.4. Clair のデバッグモードの有効化
デフォルトでは、Clair のデバッグモードが有効になっています。Clair config.yaml ファイルを更新することで、Clair のデバッグモードを有効にできます。
Clair のデバッグモードを有効にするには、次の手順を使用します。
手順
Clair のデバッグモードを有効にする
Red Hat Quay Operator で Clair を実行している場合は、次のコマンドを入力します。
$ oc exec -it clair-pod-name -- cat /clair/config.yaml
Red Hat Quay のスタンドアロンデプロイメントを実行し、Clair コンテナーを使用している場合は、次のコマンドを入力します。
$ podman exec -it clair-container-name cat /clair/config.yaml
Clair
config.yamlファイルを更新してデバッグを有効にします。http_listen_addr: :8081 introspection_addr: :8088 log_level: debug
6.6.1.5. Clair 設定の確認
Clair config.yaml ファイルをチェックして、問題を引き起こす可能性のある設定ミスや不一致がないことを確認します。詳細は、Clair 設定の概要 を参照してください。
6.6.1.6. イメージメタデータを検査する
場合によっては、Unsupported メッセージが表示されることがあります。これは、スキャナーがイメージから必要なメタデータを抽出できないことを示している可能性があります。イメージメタデータが適切にフォーマットされており、アクセス可能であるかどうかを確認してください。
関連情報
詳細は、Clair のトラブルシューティング を参照してください。
