2.7. 安全地使用容器 registry
容器 registry 存储容器镜像以便：
- 使镜像可供其他用户访问
- 将镜像组织到可包含多个镜像版本的存储库中
- 选择性地根据不同的身份验证方法限制对镜像的访问，或者将其设为可公开使用
有一些公共容器 registry（如 Quay.io 和 Docker Hub）可供很多个人和机构共享其镜像。红帽 Registry 提供支持的红帽和合作伙伴镜像，而红帽生态系统目录为这些镜像提供了详细的描述和健康状态检查。要管理自己的 registry，您可以购买一个容器 registry，如 Red Hat Quay。
从安全角度来说，有些 registry 提供了特殊的功能来检查并改进容器的健康状态。例如，Red Hat Quay 通过 Clair 安全扫描程序提供容器漏洞扫描功能，提供构建触发器以在 GitHub 和其他位置的源代码发生更改时自动重建镜像，并支持使用基于角色的访问控制 (RBAC) 来保护对镜像的访问。
2.7.1. 知道容器来自哪里？
您可以使用一些工具来扫描和跟踪您下载和部署的容器镜像的内容。但是，容器镜像有很多公共来源。在使用公共容器 registry 时，您可以使用可信源添加一层保护。
2.7.2. 不可变和已认证的容器
在管理不可变容器时，消耗安全更新尤其重要。不可变容器是在运行时永远不会更改的容器。当您部署不可变容器时，您不会介入正在运行的容器来替换一个或多个二进制文件。从操作角度来说，您可以重建并重新部署更新的容器镜像以替换某个容器，而不是更改该容器。
红帽的已认证镜像：
- 在平台组件或层中没有已知漏洞
- 在 RHEL 平台间兼容，从裸机到云端
- 受红帽支持
已知漏洞列表不断扩展，因此您必须一直跟踪部署的容器镜像的内容以及新下载的镜像。您可以使用红帽安全公告 (RHSA) 来提醒您红帽的已认证容器镜像中出现的任何新问题，并指引您找到更新的镜像。另外，您还可以访问红帽生态系统目录查找每个红帽镜像的各种安全相关问题。
2.7.3. 从红帽 Registry 和生态系统目录获取容器
红帽在红帽生态系统目录的容器镜像部分列出了适用于红帽产品和合作伙伴产品的已认证容器镜像。在该目录中，您可以查看每个镜像的详情，包括 CVE、软件包列表和健康状态分数。
红帽镜像实际存储在所谓的 红帽 Registry 中，其具体代表为公共容器 registry (registry.access.redhat.com) 和经过身份验证的 registry (registry.redhat.io)。这两者基本包括同一组容器镜像，其中 registry.redhat.io 包括了一些需要使用红帽订阅凭证进行身份验证的额外镜像。
红帽会监控容器内容以了解漏洞，并定期进行更新。当红帽发布安全更新（如 glibc、DROWN 或 Dirty Cow 的修复程序）时，任何受影响的容器镜像也会被重建并推送到 Red Hat Registry。
红帽使用 health index 来反映通过红帽生态系统目录提供的每个容器的安全风险。由于容器消耗红帽提供的软件和勘误表流程，旧的、过时的容器不安全，而全新容器则更安全。
为了说明容器的年龄，红帽生态系统目录使用一个等级系统。新鲜度等级是一个镜像可用的最旧、最严重的安全公告衡量标准。“A”比“F”状态更新。如需了解这个等级系统的更多详情，请参阅 Red Hat Ecosystem Catalog 内部使用的容器健康状态索引等级。
2.7.4. OpenShift Container Registry
OpenShift Container Platform 包括 OpenShift Container Registry，它是作为平台集成组件运行的私有 registry，可用于管理容器镜像。OpenShift Container Registry 提供基于角色的访问控制，供您管理谁可以拉取和推送哪些容器镜像。
OpenShift Container Platform 还支持与其他您可能已经使用的私有 registry 集成，如 Red Hat Quay。
2.7.5. 使用 Red Hat Quay 存储容器
Red Hat Quay 是红帽的一个企业级容器 registry 产品。Red Hat Quay 的开发是通过上游 Project Quay 完成的。Red Hat Quay 可用于在内部部署，或通过 Red Hat Quay 在 Quay.io 的托管版本部署。
与安全性相关的 Red Hat Quay 功能包括：
- 时间机器：允许带有旧标签的镜像在一段设定时间后或基于用户选择的过期时间过期。
- 存储库镜像：让您出于安全原因为其他 registry 创建镜像，如在公司防火墙后面的 Red Hat Quay 上托管公共存储库，或出于性能原因让 registry 更接近使用的位置。
- 操作日志存储：将 Red Hat Quay 日志输出保存到 Elasticsearch 存储，以便稍后进行搜索和分析。
- Clair 安全扫描：根据每个容器镜像的来源，针对各种 Linux 漏洞数据库扫描镜像。
- 内部身份验证：使用默认本地数据库处理面向 Red Hat Quay 的 RBAC 身份验证，或者从 LDAP、Keystone (OpenStack)、JWT 自定义身份验证或 External Application Token 身份验证中选择。
- 外部授权 (OAuth)：允许通过 GitHub、GitHub Enterprise 或 Google 身份验证对 Red Hat Quay 进行授权。
- 访问设置：生成令牌，允许从 docker、rkt、匿名访问、用户创建的帐户、加密客户端密码或前缀用户名自动完成访问 Red Hat Quay。
Red Hat Quay 不断与 OpenShift Container Platform 持续集成，包含几个特别值得关注的 OpenShift Container Platform Operator。Quay Bridge Operator 可让您将内部 OpenShift 镜像 registry 替换为 Red Hat Quay。Red Hat Quay Container Security Operator 可让您检查从 Red Hat Quay registry 中拉取的 OpenShift Container Platform 中运行的镜像的漏洞。
