第 2 章 在 web 控制台中设置 OpenShift Pipelines 以查看软件交换链安全元素

流程

1. 在 Developer 或 Administrator 视角中，切换到您希望漏洞视觉表示的相关项目。

2. 更新您的现有漏洞扫描任务，以确保它将输出存储在 .json 文件中，然后以以下格式提取漏洞概述：

   # The format to extract vulnerability summary (adjust the jq command for different JSON structures).
   jq -rce \
       '{vulnerabilities:{
         critical: (.result.summary.CRITICAL),
         high: (.result.summary.IMPORTANT),
         medium: (.result.summary.MODERATE),
         low: (.result.summary.LOW)
         }}' scan_output.json | tee $(results.SCAN_OUTPUT.path)

   注意

   您可能需要为不同的 JSON 结构调整 jq 命令。

   1. （可选）如果您没有漏洞扫描任务，以以下格式创建一个：

      使用 Roxctl 的漏洞扫描任务示例

      apiVersion: tekton.dev/v1
      kind: Task
      metadata:
        name: vulnerability-scan  1
        annotations:
          task.output.location: results  2
          task.results.format: application/json
          task.results.key: SCAN_OUTPUT  3
      spec:
        params:
          - description: Image to be scanned
            name: image
            type: string
        results:
          - description: CVE result format  4
            name: SCAN_OUTPUT
        steps:
          - name: roxctl
            image: 'quay.io/lrangine/crda-maven:11.0'  5
            env:
              - name: ROX_CENTRAL_ENDPOINT
                valueFrom:
                  secretKeyRef:
                    key: rox_central_endpoint    6
                    name: roxsecrets
              - name: ROX_API_TOKEN
                valueFrom:
                  secretKeyRef:
                    key: rox_api_token   7
                    name: roxsecrets
      
            name: roxctl-scan
            script: | 8
              #!/bin/sh
              curl -k -L -H "Authorization: Bearer $ROX_API_TOKEN" https://$ROX_CENTRAL_ENDPOINT/api/cli/download/roxctl-linux --output ./roxctl
              chmod +x ./roxctl
              ./roxctl image scan --insecure-skip-tls-verify -e $ROX_CENTRAL_ENDPOINT --image $(params.image) --output json  > roxctl_output.json
              jq -rce \
              "{vulnerabilities:{
              critical: (.result.summary.CRITICAL),
              high: (.result.summary.IMPORTANT),
              medium: (.result.summary.MODERATE),
              low: (.result.summary.LOW)
              }}" roxctl_output.json | tee $(results.SCAN_OUTPUT.path)

      1

      任务的名称。

      2

      存储任务输出的位置。

      3

      扫描任务结果的命名规则。有效的命名规则必须以 SCAN_OUTPUT 字符串结尾。例如，SCAN_OUTPUT、MY_CUSTOM_SCAN_OUTPUT 或 ACS_SCAN_OUTPUT。

      4

      结果的描述。

      5

      运行扫描工具的容器镜像位置。

      6

      从 Advanced Cluster Security for Kubernetes (ACS)获取的 rox_central_endpoint 密钥。

      7

      从 ACS 获取的 rox_api_token。

      8

      shell 脚本执行漏洞扫描，并在任务运行结果中设置扫描输出。

   注意

   这是示例配置。根据您的特定扫描工具修改值，以预期格式设置结果。

3. 更新适当的 Pipeline 以以下格式添加漏洞规格：

   ...
   spec:
     results:
       - description: The common vulnerabilities and exposures (CVE) result
         name: SCAN_OUTPUT
         value: $(tasks.vulnerability-scan.results.SCAN_OUTPUT)