第1章 Red Hat Quay の Clair
Clair v4 (Clair) は、静的コード分析を活用してイメージコンテンツを解析し、コンテンツに影響を与える脆弱性を報告するオープンソースアプリケーションです。Clair は Red Hat Quay にパッケージ化されており、スタンドアロンと Operator デプロイメントの両方で使用できます。エンタープライズ環境に合わせてコンポーネントを個別にスケーリングできる、非常にスケーラブルな設定で実行できます。
1.1. Clair について リンクのコピーリンクがクリップボードにコピーされました!
このセクションのコンテンツでは、Clair のリリース、公式の Clair コンテナー、および CVSS エンリッチメントデータに関する情報に焦点を当てています。
1.1.1. Clair のリリース リンクのコピーリンクがクリップボードにコピーされました!
Clair の新しいバージョンは定期的にリリースされます。Clair のビルドに必要なソースコードは、アーカイブとしてパッケージ化され、各リリースに添付されています。Clair のリリースは、Clair のリリース にあります。
リリースアーティファクトには、オープンホストを使用してインターネットからアップデーターデータを取得する clairctl コマンドラインインターフェイスツールも含まれています。
Clair 4.7.1
Clair 4.7.1 は Red Hat Quay 3.9.1 の一部としてリリースされました。次の変更が加えられました。
このリリースでは、Red Hat Enterprise Linux (RHEL) ソースからパッチ未適用の脆弱性を表示できます。パッチ未適用の脆弱性を表示する場合は、
ignore_unpatchedパラメーターをfalseに設定します。以下に例を示します。updaters: config: rhel: ignore_unpatched: falseこの機能を無効にするには、
ignore_unpatchedをtrueに設定します。
Clair 4.7
Clair 4.7 は Red Hat Quay 3.9 の一部としてリリースされ、以下の機能のサポートが含まれています。
- コンテナーイメージ内の Golang モジュールと RubeGem のインデックス作成のネイティブサポート。
プログラミング言語パッケージマネージャーの脆弱性データベースソースとして OSV.dev に変更します。
- これには、GitHub Security Advisories や PyPA などの一般的なソースが含まれます。
- これにより、オフライン機能が利用できます。
- Python 用の pyup.io および Java 用の CRDA の使用は一時停止されています。
- Clair は、Java、Golang、Python、および Ruby の依存関係をサポートするようになりました。
1.1.2. Clair がサポートする依存関係 リンクのコピーリンクがクリップボードにコピーされました!
Clair は、次の依存関係の特定と管理をサポートしています。
- Java
- golang
- Python
- Ruby
そのため、Clair はこれらの言語のプロジェクトが正しく動作するために依存しているサードパーティーのライブラリーとパッケージを分析して報告できます。
1.1.3. Clair コンテナー リンクのコピーリンクがクリップボードにコピーされました!
Red Hat Quay にバンドルされている公式のダウンストリーム Clair コンテナーは、Red Hat Ecosystem Catalog にあります。
公式のアップストリームコンテナーはパッケージ化され、Quay.io/projectquay/clair でコンテナーとしてリリースされます。最新のタグは、Git 開発ブランチを追跡します。バージョンタグは、対応するリリースから構築されます。