arminc/clair-local-scan Docker 镜像 - 轩辕镜像

Clair Local Scan 镜像文档

1. 镜像概述和主要用途

Clair Local Scan 镜像（arminc/clair-local-scan）是基于 CoreOS Clair（[***] 版本构建的扩展容器镜像。其主要用途是在本地环境或 CI/CD 流水线中独立运行 Clair 服务，实现容器镜像的漏洞扫描。

该镜像需配合预填充漏洞数据的数据库镜像（arminc/clair-db）使用，解决了原生 Clair 从零启动时数据库需 20-30 分钟初始填充漏洞数据的问题，可直接用于快速扫描场景。

2. 核心功能和特性

• 预填充漏洞数据：通过每日更新的 arminc/clair-db 镜像提供预填充的漏洞数据库，避免初始启动时 20-30 分钟的数据库填充耗时。
• 独立运行能力：支持在本地或 CI/CD 任务中独立部署，无需依赖外部 Clair 服务。
• 漏洞扫描集成：兼容 CoreOS 官方 analyze-local-images 工具，同时支持带白名单功能的 clair-scanner（用户修改版）。
• 漏洞数据更新：通过更新 arminc/clair-db 镜像的日期标签（如 2017-03-15 更换为当日日期），可获取最新漏洞数据。

3. 使用场景和适用范围

• CI/CD 流水线集成：在容器镜像构建完成后，快速执行漏洞扫描，确保镜像安全后再推进部署流程。
• 本地容器检测：开发或测试环境中，对本地构建的容器镜像进行漏洞检测。
• 快速启动需求：需要避免 Clair 初始数据库填充耗时（20-30 分钟）的场景。

4. 使用方法和配置说明

4.1 环境准备

• 安装 Docker 环境（确保支持 Docker 容器运行）。
• 网络可访问 Docker Hub，用于拉取 arminc/clair-db 和 arminc/clair-local-scan 镜像。

4.2 部署 Clair 服务

4.2.1 启动 Clair 数据库（clair-db）

首先启动预填充漏洞数据的数据库容器：

bash
docker run -d --name db arminc/clair-db:2017-03-15

说明：arminc/clair-db 镜像标签为日期格式（如 2017-03-15），需根据需求更新标签至当日日期以获取最新漏洞数据。

4.2.2 启动 Clair Local Scan 服务

启动 clair-local-scan 容器，链接数据库并暴露扫描端口：

bash
docker run -p 6060:6060 --link db:postgres -d --name clair arminc/clair-local-scan:v2.0.6

• -p 6060:6060：映射 Clair 服务端口（默认 6060）。
• --link db:postgres：链接数据库容器，使 Clair 可访问 PostgreSQL 数据库。

4.3 容器镜像扫描

4.3.1 使用官方工具 analyze-local-images

通过 CoreOS 官方工具 analyze-local-images 扫描本地镜像：

bash
analyze-local-images -endpoint http://<本地IP>:6060 -my-address <本地IP> <待扫描镜像名:标签>

示例（扫描 arminc/clair-db:2017-03-15 镜像）：

bash
analyze-local-images -endpoint [***] -my-address 192.168.1.100 arminc/clair-db:2017-03-15

4.3.2 使用带白名单功能的 clair-scanner

通过用户修改版 clair-scanner 扫描，支持漏洞白名单校验（需提前准备白名单文件）：

bash
clair-scanner <待扫描镜像名:标签> <白名单文件路径> http://<本地IP>:6060 <本地IP>

示例（扫描 nginx:1.11.6-alpine 镜像，使用 example-nginx.yaml 白名单）：

bash
clair-scanner nginx:1.11.6-alpine example-nginx.yaml [***] 192.168.1.100

clair-scanner 更多信息：[***]

5. 镜像资源链接

• clair-db 镜像：[***]
• clair-local-scan 镜像：[***]
• Travis CI 构建任务：[***]