tfsec Docker镜像文档

一、镜像概述和主要用途

tfsec Docker镜像是一个集成了tfsec安全扫描工具的容器化解决方案。tfsec是一款针对Terraform代码的静态安全分析工具，能够识别基础设施即代码(IaC)中的潜在安全漏洞和配置问题。

该镜像提供了一个便捷、一致的环境，用于对Terraform项目进行自动化安全扫描，无需在本地系统中手动安装tfsec及其依赖项。

二、核心功能和特性

• 静态代码分析：在部署前检测Terraform代码中的安全问题
• 多规则集支持：内置多种安全规则，涵盖AWS、Azure、GCP等主流云平台
• 持续集成友好：可轻松集成到CI/CD流水线中
• 详细报告生成：支持多种输出格式，包括JSON、CSV、SARIF和控制台友好格式
• 可配置规则：允许启用/禁用特定规则，设置严重级别阈值
• 自动更新：定期更新以包含最新的安全规则和功能改进
• 零依赖：容器化设计确保无需额外依赖项

三、使用场景和适用范围

• 开发环境：开发人员本地检查Terraform代码
• CI/CD流水线：在代码合并或部署前进行自动化安全扫描
• 安全审计：对现有Terraform代码库进行批量安全评估
• DevSecOps实践：将安全检查集成到开发流程早期阶段
• 教育和培训：学***识别Terraform配置中的常见安全问题

适用范围包括但不限于云基础设施工程师、DevOps工程师、安全分析师以及任何使用Terraform管理基础设施的团队。

四、使用方法和配置说明

4.1 基本用法

bash
docker run --rm -v $(pwd):/src aquasec/tfsec /src

4.2 指定输出格式

bash
# JSON格式输出
docker run --rm -v $(pwd):/src aquasec/tfsec /src --format json

# SARIF格式输出(适合GitHub Code Scanning)
docker run --rm -v $(pwd):/src aquasec/tfsec /src --format sarif

4.3 排除特定规则

bash
docker run --rm -v $(pwd):/src aquasec/tfsec /src --exclude aws-ec2-enable-imdsv2

4.4 设置严重性阈值

bash
# 只显示CRITICAL和HIGH级别问题
docker run --rm -v $(pwd):/src aquasec/tfsec /src --severity-threshold HIGH

4.5 使用配置文件

bash
docker run --rm -v $(pwd):/src aquasec/tfsec /src --config-file /src/.tfsec.config.json

五、Docker Compose配置示例

创建docker-compose.yml文件：

yaml
version: '3'
services:
  tfsec:
    image: aquasec/tfsec
    volumes:
      - ./terraform:/src
    command: ["/src", "--format", "sarif", "--output", "/src/tfsec-results.sarif"]

运行扫描：

bash
docker-compose run --rm tfsec

扫描结果将保存到./terraform/tfsec-results.sarif文件中。

六、配置参数说明

主要命令行参数

环境变量

七、集成到CI/CD流水线

GitHub Actions示例

yaml
name: tfsec
on:
  push:
    branches: [ main, master ]
  pull_request:

jobs:
  tfsec:
    runs-on: ubuntu-latest
    steps:
      - name: Checkout code
        uses: actions/checkout@v3
      
      - name: Run tfsec
        uses: docker://aquasec/tfsec:latest
        with:
          args: --format sarif --output tfsec-results.sarif ./terraform
      
      - name: Upload SARIF file
        uses: github/codeql-action/upload-sarif@v2
        with:
          sarif_file: tfsec-results.sarif

八、获取更多信息

• 文档: []
• GitHub仓库: [***]
• 规则库: [***]