掃描安全漏洞

在 Harbor 即服務中建立的每個 Harbor 執行個體，都會連線至 Trivy 安全漏洞掃描器，協助您找出並解決容器映像檔中的安全風險。在 Harbor 2.2 以上版本中，Trivy 是預設掃描器。 Trivy 會分析容器映像檔的內容，並與國家安全漏洞資料庫等已知安全漏洞資料庫進行比較，找出潛在問題。詳情請參閱 https://github.com/aquasecurity/trivy。

事前準備

您必須為環境設定必要的工具和權限，才能執行安全漏洞掃描。

必要條件

必要的 Harbor RBAC 角色

與 GDC IAM 角色不同，漏洞掃描需要 Harbor 內部角色型存取權控管 (RBAC) 系統中的特定權限。向管理員要求必要權限。強制執行最小權限原則，僅要求特定工作所需的角色。

  • ProjectAdmin：必須具備此角色才能設定掃描器、手動啟動安全漏洞掃描，以及更新專案層級的安全漏洞設定。建立 Harbor 專案的使用者會自動取得該專案的ProjectAdmin角色，並可指派角色給其他使用者。如要進一步瞭解所有可用角色，請參閱 Harbor 說明文件，瞭解各角色的使用者權限：https://goharbor.io/docs/2.12.0/administration/managing-users/user-permissions-by-role/。

掃描 Harbor 中的個別構件

如要在 Harbor 中掃描個別構件，請按照下列步驟操作：

  1. 使用具有 ProjectAdmin 角色的帳戶登入 Harbor 介面。
  2. 前往「專案」並選取專案。
  3. 按一下「掃描器」分頁標籤。「掃描器」分頁會顯示目前專案使用的掃描器。
  4. 按一下「編輯」，從已連線至這個 Harbor 執行個體的掃描器清單中選取其他掃描器，然後按一下「確定」。
  5. 按一下「存放區」分頁標籤，然後選取存放區。
  6. 存放區中的每個構件，「安全漏洞」欄都會顯示安全漏洞掃描狀態和相關資訊。

  7. 選取構件，或使用頂端的核取方塊選取存放區中的所有構件，然後按一下「掃描」，對這個構件執行安全漏洞掃描。

  8. 將指標懸停在可修正的安全漏洞數量上，即可查看安全漏洞報告摘要。

  9. 按一下構件摘要，即可查看詳細的安全性漏洞報告。

詳情請參閱 Harbor 說明文件： https://goharbor.io/docs/2.12.0/administration/vulnerability-scanning/scan-individual-artifact/。

掃描 Harbor 中的所有構件

請按照下列步驟掃描 Harbor 執行個體中的所有構件：

  1. 使用具有 ProjectAdmin 角色的帳戶登入 Harbor 介面。
  2. 在「Administration」選單中，按一下「Interrogation Services」。

  3. 如要掃描 Harbor 執行個體中的所有構件，請選取「Vulnerability」分頁，然後按一下「Scan now」。

詳情請參閱 Harbor 說明文件： https://goharbor.io/docs/2.12.0/administration/vulnerability-scanning/scan-all-artifacts/。

在 Harbor 專案中設定安全漏洞

將安全漏洞掃描功能整合至 Harbor 工作流程，主動管理容器化應用程式的安全性，並保護貴機構免於潛在威脅。設定專案，禁止執行含有安全漏洞的映像檔，並在映像檔推送至專案時自動掃描。

請按照下列步驟，為 Harbor 專案設定弱點：

  1. 使用具有 ProjectAdmin 角色的帳戶登入 Harbor 介面。
  2. 前往「專案」並選取專案。
  3. 按一下 [設定] 標籤。
  4. 如要防止系統提取專案中含有安全漏洞的映像檔，請勾選「防止執行含有安全漏洞的映像檔」核取方塊。

  5. 選取安全漏洞的嚴重性等級，防止映像檔執行。

  6. 如要對推送至專案的新映像檔立即執行安全漏洞掃描，請勾選「Automatically scan images on push」(自動掃描推送的映像檔) 核取方塊。

詳情請參閱 Harbor 說明文件： https://goharbor.io/docs/2.12.0/working-with-projects/project-configuration/。

後續步驟

掃描構件並設定安全漏洞設定來保護環境後，您就可以建立自動化規則，清理過時或有安全漏洞的容器映像檔。如果您已設定保留規則，可以繼續部署安全工作負載。