nexus-iq-cli Docker镜像文档

镜像概述和主要用途

nexus-iq-cli是基于Sonatype IQ CLI的Docker镜像，用于对挂载工作区中的文件执行组件智能评估。该镜像通过与Sonatype IQ Server交互，实现组件策略合规性检查，并生成评估报告。主要用途包括组件安全扫描、策略评估及合规性验证，支持集成到CI/CD流程中实现自动化检查。

核心功能和特性

• 对指定文件或目录进行组件智能评估
• 支持Docker镜像扫描（本地镜像、公共/私有仓库镜像）
• 收集Git版本信息（提交哈希、仓库URL）并发送至IQ Server
• 生成机器可读的JSON格式评估结果
• 多阶段分析支持（develop、source、build等阶段）
• 可配置的策略评估失败条件（如警告触发失败）
• 支持代理服务器配置及认证

使用场景和适用范围

• 开发阶段组件安全扫描与策略验证
• CI/CD流水线集成，自动化组件合规检查
• Docker镜像发布前安全评估
• 多环境（开发、构建、发布）组件策略评估
• 应用部署前组件合规性验证
• 第三方依赖组件风险评估

详细使用方法和配置说明

基本使用方式

bash
docker run sonatype/nexus-iq-cli /sonatype/evaluate [选项] <待扫描文件或目录>

Docker Run示例

扫描本地文件目录

将主机mycontent目录挂载为容器/target，评估结果输出到主机myresults目录：

bash
docker run -v mycontent:/target -v myresults:/sonatype/reports sonatype/nexus-iq-cli /sonatype/evaluate \
  -s [***] \
  -a user:password \
  -i WEBAPP \
  /target/our-web-app.war

含空格路径处理

若目标路径包含空格，需使用单引号包裹并转义空格：

bash
docker run ... '/target\ folder/our-web-app.war'

参数说明

必选参数

可选参数

Git信息收集

通过设置GIT_DIR环境变量，可收集Git信息（提交哈希、仓库URL）并发送至IQ Server。需确保挂载的工作区包含.git目录。

示例：

bash
docker run --env GIT_DIR=/target/.git -v $(pwd):/target sonatype/nexus-iq-cli /sonatype/evaluate \
  -s [***] \
  -a user:password \
  -i iq-application \
  '/target/**/*.jar'

Docker镜像扫描

支持扫描本地Docker镜像或远程仓库镜像（公共/私有），需挂载Docker守护进程套接字（/var/run/docker.sock）。

环境变量

扫描示例

扫描本地Docker镜像

bash
docker run --rm \
  -v ~/sonatype/reports:/sonatype/reports \
  -v /var/run/docker.sock:/var/run/docker.sock \
  sonatype/nexus-iq-cli /sonatype/evaluate \
  -s [***] \
  -a user:password \
  -i app-name \
  container:alpine:3.6

扫描远程私有镜像

bash
docker run --rm \
  -v ~/sonatype/reports:/sonatype/reports \
  -v /var/run/docker.sock:/var/run/docker.sock \
  -e NEXUS_CONTAINER_IMAGE_REGISTRY_USER=registry-user \
  -e NEXUS_CONTAINER_IMAGE_REGISTRY_PASSWORD=registry-pass \
  sonatype/nexus-iq-cli /sonatype/evaluate \
  -s [***] \
  -a user:password \
  -i app-name \
  container:[***]

旧版本兼容性（1.183.0及更早）

需额外挂载/tmp目录：

bash
docker run --rm \
  -v ~/sonatype/reports:/sonatype/reports \
  -v /tmp:/tmp \
  -v /var/run/docker.sock:/var/run/docker.sock \
  sonatype/nexus-iq-cli /sonatype/evaluate \
  -s [***] \
  -a user:password \
  -i app-name \
  container:alpine:3.6

自定义挂载路径可通过NEXUS_CONTAINER_SCANNING_MOUNT_PATH环境变量配置：

bash
docker run --rm \
  -e NEXUS_CONTAINER_SCANNING_MOUNT_PATH=/custom/tmp \
  -v /custom/tmp:/custom/tmp \
  ...

注意：Docker镜像扫描功能暂不支持Windows系统。

发布说明

• nexus-iq-cli Docker镜像完整发布说明：链接
• Sonatype IQ Server完整发布说明：链接