第 15 章 与镜像漏洞策略集成
Red Hat Advanced Cluster Security for Kubernetes (RHACS)与漏洞扫描程序集成，以便您导入容器镜像并监视它们是否有漏洞。
支持的容器镜像 registry
红帽支持以下容器镜像 registry：
- Amazon Elastic Container Registry (ECR)
-
通用 Docker registry （任何通用的 Docker 或开放容器项目兼容镜像 registry，如 DockerHub、
gcr.io、mcr.microsoft.com） - Google Container Registry
- Google Artifact Registry
- IBM Cloud Container Registry
- JFrog Artifactory
- Microsoft Azure Container Registry (ACR)
- Red Hat Quay
-
Red Hat registry (
registry.redhat.io,registry.access.redhat.com) - Sonatype Nexus
此增强的支持为在首选 registry 中管理容器镜像提供了更大的灵活性和选择。
支持的扫描器
您可以设置 RHACS 从以下商业容器镜像漏洞扫描程序获取镜像漏洞策略：
RHACS 中包含的扫描程序
- 扫描程序 V4 ：从 RHACS 版本 4.4 开始，引入了一个新的扫描程序，它基于 ClairCore 构建，同时支持 Clair 扫描程序。扫描程序 V4 支持扫描语言和特定于操作系统的镜像组件。您不必创建集成以使用此扫描程序，但必须在安装过程中或安装后启用它。对于版本 4.4，如果启用此扫描程序，还必须启用 StackRox Scanner。有关 Scanner V4 的更多信息，包括安装文档的链接，请参阅关于 RHACS 扫描程序 V4。
stackrox Scanner：此扫描程序是 RHACS 中的默认扫描程序。它源自 Clair v2 开源扫描程序的分叉。
重要即使启用了 Scanner V4，仍必须启用 StackRox Scanner 来扫描 RHCOS 节点和平台漏洞，如 Red Hat OpenShift、Kubernetes 和 Istio。以后的发行版本中计划在 Scanner V4 中支持该功能。不要禁用 StackRox Scanner。
备用扫描程序
- Clair: 从版本 4.4 开始，您可以在 RHACS 中启用 Scanner V4 来提供 ClairCore 提供的功能，这也为 Clair V4 扫描程序提供。但是，您可以通过配置集成将 Clair V4 配置为扫描程序。
- Google Container Analysis
- Red Hat Quay
StackRox Scanner 与 Scanner V4 （可选）是与 RHACS 搭配使用的首选镜像漏洞扫描程序。有关使用 StackRox Scanner 和 Scanner V4 扫描程序容器镜像的更多信息，请参阅 扫描镜像。
如果您在 DevOps 工作流中使用这些替代扫描程序之一，您可以使用 RHACS 门户配置与漏洞扫描程序的集成。集成后，RHACS 门户会显示镜像漏洞，您可以轻松地应用它们。
如果配置了多个扫描程序，RHACS 会尝试使用 non-StackRox/RHACS 和 Clair 扫描程序。如果这些扫描程序失败，RHACS 会尝试使用配置的 Clair 扫描程序。如果失败，RHACS 会尝试使用 Scanner V4 （如果已配置）。如果没有配置 Scanner V4，RHACS 会尝试使用 StackRox Scanner。
15.1. 与 Clair 集成
从版本 4.4 开始，Clair 扫描功能在新的 RHACS 扫描程序 V4 中提供，不需要单独的集成。只有在使用 Clair V4 扫描程序时，才需要本节中的说明。
请注意以下指导：
- 从 RHACS 3.74 开始，红帽弃用了以前的 CoreOS Clair 集成，而是使用 Clair V4 集成。使用 Clair V4 Scanner 需要一个单独的集成。从版本 4.4 开始，如果您使用 Scanner V4，则不再需要此集成。
- 计划在下一个 RHACS 4.0 版本中不支持 Clair V4 集成 基于 JWT 的身份验证选项。
流程
-
在 RHACS 门户中，进入 Platform Configuration
Integrations。 - 在 Image Integrations 部分下，选择 Clair v4。
- 点 New integration。
输入以下字段的详情：
- 集成名称 ：集成的名称。
- 端点 ：扫描程序的地址。
- （可选） 如果您在连接到 registry 时没有使用 TLS 证书，请选择 Disable TLS 证书验证（不安全 ）。
- （可选）点 Test 来测试与所选 registry 的集成是否正常工作。
- 点 Save。
