容器 Registry 代理镜像文档

镜像概述

容器 Registry 代理镜像（Container Registry Agent）是一款专为私有容器 registry 与 Snyk 平台集成设计的工具，旨在通过安全通道实现私有容器 registry 与 Snyk 平台的双向通信，支持 Snyk 平台对私有容器镜像进行安全扫描、漏洞检测及依赖管理等操作，确保私有容器资源在不直接暴露公网的前提下，仍能享受 Snyk 提供的安全防护能力。

核心功能和特性

1. 安全连接能力

• 采用加密传输协议（TLS/SSL）保障数据传输安全
• 支持多种认证机制（如 API 密钥、令牌认证、证书认证）验证连接合法性
• 内置访问控制策略，限制非授权访问私有 registry 资源

2. 私有 Registry 集成

• 兼容主流私有容器 registry（如 Docker Registry、Harbor、AWS ECR、Azure Container Registry 等）
• 支持自定义 registry 端口、路径及访问规则配置
• 支持私有 registry 内镜像元数据、标签信息的安全同步

3. Snyk 平台深度对接

• 无缝集成 Snyk 容器镜像扫描功能，支持漏洞检测、依赖项分析及合规性检查
• 实时同步私有 registry 镜像变更至 Snyk 平台，触发自动化安全扫描流程
• 支持将扫描结果反馈至 Snyk 控制台，便于集中管理和风险追踪

4. 灵活配置与部署

• 支持通过环境变量、配置文件或命令行参数自定义代理行为
• 兼容 Docker、Kubernetes 等主流容器化部署环境
• 支持自定义 CA 证书，适配企业内部 PKI 体系

使用场景和适用范围

适用场景

• 企业私有容器安全管理：企业内部私有容器 registry 需要与 Snyk 平台集成，进行容器镜像安全扫描时
• 私有资源安全暴露：需在不直接开放私有 registry 公网访问权限的情况下，允许 Snyk 平台访问私有镜像资源时
• CI/CD 流程安全集成：在 CI/CD 流水线中集成容器镜像安全检查，需从私有 registry 拉取镜像并提交至 Snyk 扫描时
• 多 registry 集中管理：企业拥有多个私有 registry，需通过统一代理与 Snyk 平台对接时

适用范围

• 所有需要将私有容器 registry 与 Snyk 平台集成的组织或个人
• 对容器镜像安全扫描有需求，且私有 registry 未暴露公网访问的场景
• 采用容器化部署架构，重视供应链安全和漏洞管理的企业环境

使用方法和配置说明

前提条件

• 已部署私有容器 registry（如 Docker Registry、Harbor 等），并可访问其 API 端点
• 已获取 Snyk 平台访问令牌（Snyk Token），具备相应操作权限
• 确保部署环境网络可连通私有 registry 及 Snyk 平台服务端点

基本部署命令（Docker Run）

bash
docker run -d \
  --name snyk-registry-agent \
  -e REGISTRY_URL="[***]" \  # 私有 registry 地址（必填）
  -e SNYK_TOKEN="your-snyk-token" \  # Snyk 平台访问令牌（必填）
  -e REGISTRY_USER="registry-username" \  # 私有 registry 认证用户名（按需配置）
  -e REGISTRY_PASSWORD="registry-password" \  # 私有 registry 认证密码（按需配置）
  -e TLS_ENABLED="true" \  # 是否启用 TLS（默认 true）
  -e LOG_LEVEL="info" \  # 日志级别（debug/info/warn/error，默认 info）
  snyk/registry-agent:latest

核心配置参数（环境变量）

自定义 CA 证书配置

若私有 registry 使用自签名 TLS 证书，需将 CA 证书挂载至容器内并通过 CA_CERT_PATH 指定路径：

bash
docker run -d \
  --name snyk-registry-agent \
  -e REGISTRY_URL="[***]" \
  -e SNYK_TOKEN="your-snyk-token" \
  -e CA_CERT_PATH="/etc/registry-agent/ca.crt" \
  -v /path/to/your/ca.crt:/etc/registry-agent/ca.crt:ro \
  snyk/registry-agent:latest

验证部署

代理启动后，可通过查看容器日志确认连接状态：

bash
docker logs snyk-registry-agent

若日志中出现 Successfully connected to Snyk platform and private registry 信息，表明部署成功。此时 Snyk 平台将可通过代理访问私有 registry 镜像，执行安全扫描等操作。