操作场景
腾讯云容器镜像服务(Tencent Container Registry,TCR)企业版支持对托管的容器镜像进行安全扫描,生成扫描报告,暴露容器镜像内潜在的安全漏洞,并提供修复建议。容器镜像安全是云原生应用交付安全的重要一环,对上传的容器镜像进行及时安全扫描,并基于扫描结果选择阻断应用部署,可有效降低生产环境漏洞风险。
镜像安全扫描功能内置在镜像仓库中,用户可在上传容器镜像后,主动触发对指定版本容器镜像的安全扫描,也可以在命名空间层级配置自动扫描,该命名空间内新推送镜像上传完成后将自动被扫描。当前镜像安全扫描服务基于开源 Clair 方案,相关漏洞信息来自官方 CVE 漏洞库,并定期保持同步。
前提条件
在使用镜像安全扫描功能前,您需要完成以下准备工作:
已成功 购买企业版实例。
如果使用子账号进行操作,请参见 企业版授权方案示例 提前为子账号授予对应实例的操作权限。
操作步骤
配置扫描策略
1. 登录 容器镜像服务 控制台,选择左侧导航栏中的命名空间。
2. 在命名空间页面中,单击需开通镜像安全扫描功能的实例名称,进入命名空间详情页。
3. 在基本信息页,单击安全扫描后的![](https://qcloudimg.tencent-cloud.cn/image/document/34653b381fa20d67f20ecf7e851f8d1b.png)
,如下图所示:
![](https://qcloudimg.tencent-cloud.cn/image/document/34653b381fa20d67f20ecf7e851f8d1b.png)
![](https://qcloudimg.tencent-cloud.cn/image/document/8b61dfb925f172bae58ef5aa24b99e04.png)
4. 将安全扫描配置为自动扫描,单击确认,如下图所示:
![](https://qcloudimg.tencent-cloud.cn/image/document/80593ca1c813ee1d66d052718b033bd7.png)
手动触发扫描
步骤1:准备容器镜像
步骤2:触发镜像扫描
选择该镜像仓库内指定镜像版本,单击扫描触发镜像扫描,此时安全级别显示为“扫描中”。如下图所示:
![](https://qcloudimg.tencent-cloud.cn/image/document/7e9619a738dc949b0ce76bb517eb7b4f.png)
![](https://qcloudimg.tencent-cloud.cn/image/document/7e9619a738dc949b0ce76bb517eb7b4f.png)
注意:
镜像扫描功能仅支持制品类型为 DockerImage 的镜像,其他类型制品暂不支持镜像扫描。
步骤3:查看扫描结果
安全扫描完成后,安全级别处将自动展示当前镜像内漏洞的最高等级及个数,可单击查看漏洞详情。如下图所示:
![](https://qcloudimg.tencent-cloud.cn/image/document/7deb01531115f2c037aafbd313089699.png)
![](https://qcloudimg.tencent-cloud.cn/image/document/7deb01531115f2c037aafbd313089699.png)
查看镜像的漏洞详情时,可单击指定的漏洞编号,跳转至该漏洞的详细说明,评估漏洞对业务的实际影响范围。如下图所示:
![](https://qcloudimg.tencent-cloud.cn/image/document/b1e9de2dacd26f998ece87dd594e698c.png)
![](https://qcloudimg.tencent-cloud.cn/image/document/b1e9de2dacd26f998ece87dd594e698c.png)