在 Red Hat Quay 中使用 Clair 报告漏洞

1. PSK.使用这个身份验证配置，Clair 使用预共享密钥实施基于 JWT 的身份验证。

2. 配置。例如：

   auth:
     psk:
       key: >-
         MDQ4ODBlNDAtNDc0ZC00MWUxLThhMzAtOTk0MzEwMGQwYTMxCg==
       iss: 'issuer'

   Copy to Clipboard Toggle word wrap

   在此配置中，auth 字段需要两个参数： 是，即验证所有传入请求的签发者，密钥 是验证请求的 base64 代码对称密钥。

流程

1. 输入以下命令停止 Red Hat Quay 容器：

   $ sudo podman stop <quay_container_name>

   Copy to Clipboard Toggle word wrap

2. 运行以下命令来停止 Clair 容器：

   $ sudo podman stop <clair_container_id>

   Copy to Clipboard Toggle word wrap

3. 从 SCLOrg 的数据迁移流程运行以下 Podman 进程，它允许从远程 PostgreSQL 服务器迁移数据： https://github.com/sclorg/postgresql-container/tree/master/13#data-migration

   $ sudo podman run -d --name <clair_migration_postgresql_database> 

   1

   
     -e POSTGRESQL_MIGRATION_REMOTE_HOST=<container_ip_address> \ 

   2

   
     -e POSTGRESQL_MIGRATION_ADMIN_PASSWORD=remoteAdminP@ssword \
     -v </host/data/directory:/var/lib/pgsql/data:Z> \ 

   3

   
     [ OPTIONAL_CONFIGURATION_VARIABLES ]
     registry.redhat.io/rhel8/postgresql-15

   Copy to Clipboard Toggle word wrap

   1

   为您的 Clair PostgreSQL 15 迁移数据库插入名称。

   2

   您的新 Clair PostgreSQL 15 数据库容器 IP 地址。可以通过运行以下命令来获取： sudo podman inspect -f "{{.NetworkSettings.IPAddress}}" postgresql-quay。

   3

   您必须指定与初始 Clair PostgreSQL 13 部署中不同的卷挂载点，并修改上述目录的访问控制列表。例如：

   $ mkdir -p /host/data/clair-postgresql15-directory

   Copy to Clipboard Toggle word wrap

   $ setfacl -m u:26:-wx /host/data/clair-postgresql15-directory

   Copy to Clipboard Toggle word wrap

   这可防止数据被新容器覆盖。

4. 停止 Clair PostgreSQL 13 容器：

   $ sudo podman stop <clair_postgresql13_container_name>

   Copy to Clipboard Toggle word wrap

5. 完成 PostgreSQL 迁移后，使用步骤 3 中的新数据卷挂载运行 Clair PostgreSQL 15 容器，例如 </ host/data/clair-postgresql15-directory:/var/lib/postgresql/data> ：

   $ sudo podman run -d --rm --name <postgresql15-clairv4> \
     -e POSTGRESQL_USER=<clair_username> \
     -e POSTGRESQL_PASSWORD=<clair_password> \
     -e POSTGRESQL_DATABASE=<clair_database_name> \
     -e POSTGRESQL_ADMIN_PASSWORD=<admin_password> \
     -p 5433:5432 \
     -v </host/data/clair-postgresql15-directory:/var/lib/postgresql/data:Z> \
       registry.redhat.io/rhel8/postgresql-15

   Copy to Clipboard Toggle word wrap

6. 输入以下命令启动 Red Hat Quay 容器：

   $ sudo podman run -d --rm -p 80:8080 -p 443:8443 --name=quay \
   -v /home/<quay_user>/quay-poc/config:/conf/stack:Z \
   -v /home/<quay_user>/quay-poc/storage:/datastorage:Z \
   {productrepo}/{quayimage}:{productminv}

   Copy to Clipboard Toggle word wrap

7. 输入以下命令启动 Clair 容器：

   $ sudo podman run -d --name clairv4 \
   -p 8081:8081 -p 8088:8088 \
   -e CLAIR_CONF=/clair/config.yaml \
   -e CLAIR_MODE=combo \
   registry.redhat.io/quay/clair-rhel8:{productminv}

   Copy to Clipboard Toggle word wrap

流程

1. 如果 Clair 正在运行，输入以下命令来停止 Clair：

   $ podman stop <clairv4_container_name>

   Copy to Clipboard Toggle word wrap

2. 导航到 上游存储库，找到要使用的 Clair 版本，并将它拉取到本地机器。例如：

   $ podman pull quay.io/projectquay/clair:nightly-2024-02-03

   Copy to Clipboard Toggle word wrap

3. 使用容器镜像启动 Clair，从您创建的文件中挂载在配置中：

   $ podman run -d --name clairv4 \
   -p 8081:8081 -p 8088:8088 \
   -e CLAIR_CONF=/clair/config.yaml \
   -e CLAIR_MODE=combo \
   -v /etc/opt/clairv4/config:/clair:Z \
   quay.io/projectquay/clair:nightly-2024-02-03

   Copy to Clipboard Toggle word wrap

流程

1. 输入以下命令创建一个包含 clair-config.yaml 的 Quay 配置捆绑包 secret：

   $ oc create secret generic --from-file config.yaml=./config.yaml --from-file extra_ca_cert_rds-ca-2019-root.pem=./rds-ca-2019-root.pem --from-file clair-config.yaml=./clair-config.yaml --from-file ssl.cert=./ssl.cert --from-file ssl.key=./ssl.key config-bundle-secret

   Copy to Clipboard Toggle word wrap

   Clair config.yaml 文件示例

   indexer:
       connstring: host=quay-server.example.com port=5432 dbname=quay user=quayrdsdb password=quayrdsdb sslrootcert=/run/certs/rds-ca-2019-root.pem sslmode=verify-ca
       layer_scan_concurrency: 6
       migrations: true
       scanlock_retry: 11
   log_level: debug
   matcher:
       connstring: host=quay-server.example.com port=5432 dbname=quay user=quayrdsdb password=quayrdsdb sslrootcert=/run/certs/rds-ca-2019-root.pem sslmode=verify-ca
       migrations: true
   metrics:
       name: prometheus
   notifier:
       connstring: host=quay-server.example.com port=5432 dbname=quay user=quayrdsdb password=quayrdsdb sslrootcert=/run/certs/rds-ca-2019-root.pem sslmode=verify-ca
       migrations: true

   Copy to Clipboard Toggle word wrap

   注意
   • 数据库证书挂载到 clair-config.yaml 中的 Clair 应用程序 pod 上的 /run/certs/rds-ca-2019-root.pem 下。它必须在配置 clair-config.yaml 时指定。
   • 有关 clair-config.yaml 的示例，请参阅 OpenShift 配置的 Clair。

2. 将 clair-config.yaml 文件添加到捆绑包 secret 中，例如：

   apiVersion: v1
   kind: Secret
   metadata:
     name: config-bundle-secret
     namespace: quay-enterprise
   data:
     config.yaml: <base64 encoded Quay config>
     clair-config.yaml: <base64 encoded Clair config>
     extra_ca_cert_<name>: <base64 encoded ca cert>
     ssl.crt: <base64 encoded SSL certificate>
     ssl.key: <base64 encoded SSL private key>

   Copy to Clipboard Toggle word wrap
   注意

   更新后，提供的 clair-config.yaml 文件会挂载到 Clair pod 中。不提供的任何字段都会使用 Clair 配置模块自动填充默认值。

3. 您可以点击 Build History 页面中的提交或运行 oc get pods -n <namespace > 来检查 Clair pod 的状态。例如：

   $ oc get pods -n <namespace>

   Copy to Clipboard Toggle word wrap

   输出示例

   NAME                                               READY   STATUS    RESTARTS   AGE
   f192fe4a-c802-4275-bcce-d2031e635126-9l2b5-25lg2   1/1     Running   0          7s

   Copy to Clipboard Toggle word wrap

流程

1. 输入以下命令创建一个包含 clair-config.yaml 的 Quay 配置捆绑包 secret：

   $ oc create secret generic --from-file config.yaml=./config.yaml --from-file extra_ca_cert_rds-ca-2019-root.pem=./rds-ca-2019-root.pem --from-file clair-config.yaml=./clair-config.yaml config-bundle-secret

   Copy to Clipboard Toggle word wrap

   Clair config.yaml 文件示例

   indexer:
       connstring: host=quay-server.example.com port=5432 dbname=quay user=quayrdsdb password=quayrdsdb sslmode=disable
       layer_scan_concurrency: 6
       migrations: true
       scanlock_retry: 11
   log_level: debug
   matcher:
       connstring: host=quay-server.example.com port=5432 dbname=quay user=quayrdsdb password=quayrdsdb sslmode=disable
       migrations: true
   metrics:
       name: prometheus
   notifier:
       connstring: host=quay-server.example.com port=5432 dbname=quay user=quayrdsdb password=quayrdsdb sslmode=disable
       migrations: true

   Copy to Clipboard Toggle word wrap

   注意
   • 数据库证书挂载到 clair-config.yaml 中的 Clair 应用程序 pod 上的 /run/certs/rds-ca-2019-root.pem 下。它必须在配置 clair-config.yaml 时指定。
   • 有关 clair-config.yaml 的示例，请参阅 OpenShift 配置的 Clair。

2. 将 clair-config.yaml 文件添加到捆绑包 secret 中，例如：

   apiVersion: v1
   kind: Secret
   metadata:
     name: config-bundle-secret
     namespace: quay-enterprise
   data:
     config.yaml: <base64 encoded Quay config>
     clair-config.yaml: <base64 encoded Clair config>

   Copy to Clipboard Toggle word wrap
   注意
   • 更新后，提供的 clair-config.yaml 文件会挂载到 Clair pod 中。不提供的任何字段都会使用 Clair 配置模块自动填充默认值。

3. 您可以点击 Build History 页面中的提交或运行 oc get pods -n <namespace > 来检查 Clair pod 的状态。例如：

   $ oc get pods -n <namespace>

   Copy to Clipboard Toggle word wrap

   输出示例

   NAME                                               READY   STATUS    RESTARTS   AGE
   f192fe4a-c802-4275-bcce-d2031e635126-9l2b5-25lg2   1/1     Running   0          7s

   Copy to Clipboard Toggle word wrap