3.4. 高级 Clair 配置

流程

1. 输入以下命令，在 OpenShift Container Platform 集群中为 Clair 部署安装 clairctl 程序：

   $ oc -n quay-enterprise exec example-registry-clair-app-64dd48f866-6ptgw -- cat /usr/bin/clairctl > clairctl

   注意

   不正式使用，可以下载 clairctl 工具

2. 设置 clairctl 文件的权限，以便用户可以执行并运行它，例如：

   $ chmod u+x ./clairctl

流程

1. 输入以下命令来检索和解码配置 secret，然后将其保存到 Clair 配置 YAML 中：

   $ oc get secret -n quay-enterprise example-registry-clair-config-secret  -o "jsonpath={$.data['config\.yaml']}" | base64 -d > clair-config.yaml

2. 更新 clair-config.yaml 文件，使 disable_updaters 和 airgap 参数设置为 true，例如：

   ---
   indexer:
     airgap: true
   ---
   matcher:
     disable_updaters: true
   ---

流程

1. 使用 oc CLI 工具确定 Clair 数据库服务，例如：

   $ oc get svc -n quay-enterprise

   输出示例

   NAME                                  TYPE           CLUSTER-IP       EXTERNAL-IP   PORT(S)                             AGE
   example-registry-clair-app            ClusterIP      172.30.224.93    <none>        80/TCP,8089/TCP                     4d21h
   example-registry-clair-postgres       ClusterIP      172.30.246.88    <none>        5432/TCP                            4d21h
   ...

2. 转发 Clair 数据库端口，使其可从本地机器访问。例如：

   $ oc port-forward -n quay-enterprise service/example-registry-clair-postgres 5432:5432

3. 更新 Clair config.yaml 文件，例如：

   indexer:
       connstring: host=localhost port=5432 dbname=postgres user=postgres password=postgres sslmode=disable 1
       scanlock_retry: 10
       layer_scan_concurrency: 5
       migrations: true
       scanner:
         repo:
           rhel-repository-scanner: 2
             repo2cpe_mapping_file: /data/cpe-map.json
         package:
           rhel_containerscanner: 3
             name2repos_mapping_file: /data/repo-map.json

   1

   在多 connstring 字段中使用 localhost 替换 host 的值。

   2

   有关 rhel-repository-scanner 参数的更多信息，请参阅 "Mapping repository to Common Product Enumeration information"。

   3

   有关 rhel_containerscanner 参数的更多信息，请参阅 "Mapping repository to Common Product Enumeration information"。

流程

1. 使用 podman cp 命令为自我管理的 Clair 部署安装 clairctl 程序，例如：

   $ sudo podman cp clairv4:/usr/bin/clairctl ./clairctl

2. 设置 clairctl 文件的权限，以便用户可以执行并运行它，例如：

   $ chmod u+x ./clairctl

流程

1. 为您的 Clair 配置文件创建一个文件夹，例如：

   $ mkdir /etc/clairv4/config/

2. 创建 Clair 配置文件，并将 disable_updaters 参数设置为 true，例如：

   ---
   indexer:
     airgap: true
   ---
   matcher:
     disable_updaters: true
   ---

3. 使用容器镜像启动 Clair，从您创建的文件中挂载到配置中：

   $ sudo podman run -it --rm --name clairv4 \
   -p 8081:8081 -p 8088:8088 \
   -e CLAIR_CONF=/clair/config.yaml \
   -e CLAIR_MODE=combo \
   -v /etc/clairv4/config:/clair:Z \
   registry.redhat.io/quay/clair-rhel8:v3.11.1

流程

1. 使用 oc CLI 工具确定 Clair 数据库服务，例如：

   $ oc get svc -n quay-enterprise

   输出示例

   NAME                                  TYPE           CLUSTER-IP       EXTERNAL-IP   PORT(S)                             AGE
   example-registry-clair-app            ClusterIP      172.30.224.93    <none>        80/TCP,8089/TCP                     4d21h
   example-registry-clair-postgres       ClusterIP      172.30.246.88    <none>        5432/TCP                            4d21h
   ...

2. 转发 Clair 数据库端口，使其可从本地机器访问。例如：

   $ oc port-forward -n quay-enterprise service/example-registry-clair-postgres 5432:5432

3. 更新 Clair config.yaml 文件，例如：

   indexer:
       connstring: host=localhost port=5432 dbname=postgres user=postgres password=postgres sslmode=disable 1
       scanlock_retry: 10
       layer_scan_concurrency: 5
       migrations: true
       scanner:
         repo:
           rhel-repository-scanner: 2
             repo2cpe_mapping_file: /data/cpe-map.json
         package:
           rhel_containerscanner: 3
             name2repos_mapping_file: /data/repo-map.json

   1

   在多 connstring 字段中使用 localhost 替换 host 的值。

   2

   有关 rhel-repository-scanner 参数的更多信息，请参阅 "Mapping repository to Common Product Enumeration information"。

   3

   有关 rhel_containerscanner 参数的更多信息，请参阅 "Mapping repository to Common Product Enumeration information"。