arminc/clair-db Docker 镜像 - 轩辕镜像

clair-db 镜像文档

镜像概述

clair-db是开源容器漏洞扫描工具Clair的配套数据库镜像，专为存储和管理容器漏洞信息设计。作为Clair的核心数据层，该镜像基于PostgreSQL数据库构建，预置了Clair所需的数据库 schema，用于持久化存储CVE（通用漏洞和暴露）数据、漏洞元信息及扫描结果，是本地部署Clair扫描环境的必备组件。

核心功能与特性

• 预置数据库结构：内置Clair专用的数据库表结构，无需手动初始化即可直接与Clair服务对接。
• 漏洞数据存储：支持存储CVE条目、漏洞影响范围、修复建议等关键信息，满足漏洞扫描的数据查询需求。
• 数据持久化支持：通过数据卷挂载可实现漏洞数据持久化，避免容器重启导致的信息丢失。
• 轻量级部署：基于优化的PostgreSQL配置，镜像体积小，资源占用低，适合本地开发测试环境快速部署。
• 无缝集成Clair：与Clair扫描服务深度兼容，提供标准化数据接口，确保漏洞信息实时同步。

使用场景与适用范围

• 本地容器漏洞扫描：开发者在本地环境搭建Clair扫描服务时，通过clair-db存储漏洞数据，实现离线或内网环境下的容器镜像漏洞检测。
• CI/CD流水线集成：在持续集成/部署流程中，配合Clair对构建的容器镜像进行自动化漏洞扫描，需clair-db提供稳定的漏洞数据支持。
• 开发测试环境：用于测试容器镜像的安全合规性，通过本地数据库快速查询漏洞信息，加速问题定位与修复。

使用方法与配置说明

基本部署（Docker Run）

简单启动

直接运行容器，默认使用内置配置初始化数据库：

bash
docker run -d -p 5432:5432 --name clair-db arminc/clair-db:latest

数据持久化配置

为避免数据丢失，建议通过数据卷挂载数据库存储目录：

bash
# 创建数据卷
docker volume create clair-db-data

# 启动容器并挂载数据卷
docker run -d -p 5432:5432 --name clair-db \
  -v clair-db-data:/var/lib/postgresql/data \
  arminc/clair-db:latest

自定义配置（环境变量）

clair-db支持通过环境变量调整数据库核心参数，常用变量如下：

自定义用户名和密码示例

bash
docker run -d -p 5432:5432 --name clair-db \
  -e POSTGRES_USER=clairuser \
  -e POSTGRES_PASSWORD=SecurePass123 \
  -e POSTGRES_DB=clairdbdata \
  arminc/clair-db:latest

与Clair服务集成

clair-db需配合Clair扫描服务使用，典型部署流程如下：

1. 启动clair-db：

bash
docker run -d --name clair-db \
  -v clair-db-data:/var/lib/postgresql/data \
  arminc/clair-db:latest

2. 配置Clair连接：

创建Clair配置文件（config.yaml），指定数据库连接参数：

yaml
database:
  type: pgsql
  options:
    source: "postgresql://postgres:password@clair-db:5432/clair?sslmode=disable"  # 需与clair-db环境变量对应

3. 启动Clair服务：

bash
docker run -d --name clair --link clair-db:clair-db \
  -v $(pwd)/config.yaml:/etc/clair/config.yaml \
  arminc/clair-local-scan:latest

注意事项

• 版本兼容性：需确保clair-db版本与Clair服务版本匹配，避免因数据库schema差异导致集成失败。
• 数据备份：生产环境中建议定期备份挂载的数据卷，防止数据损坏或丢失。
• 网络隔离：若clair-db与Clair不在同一Docker网络，需通过--network参数指定自定义网络，并调整数据库连接地址。

参考链接

官方文档与更新说明：arminc/clair-local-scan