Harbor集成Clair安全扫描实践(KOS)

目录

1 概述

2 安装环境

2.1 操作系统环境

2.2 工具版本

3 安装与配置

3.1 安装docker

3.2 安装docker-compose

3.3 安装harbor

4 Clair扫描

4.1 推送镜像

4.2 安全扫描

---

1 概述

clair的目标是能够从一个更加透明的维度去看待基于容器化的基础框架的安全性。Clair=clear + bright + transparent; clair通过对容器的layer进行扫描，发现漏洞并进行预警，其使用数据是基于Common Vulnerabilities and Exposures数据库(简称CVE), 各Linux发行版一般都有自己的CVE源，而Clair则是与其进行匹配以判断漏洞的存在与否，比如HeartBleed的CVE为：CVE-2014-0160。GitHub - quay/clair: Vulnerability Static Analysis for Containers

浪潮信息KOS是浪潮信息基于Linux Kernel、OpenAnolis等开源技术自主研发的一款服务器操作系统，支持x86、ARM等主流架构处理器，性能和稳定性居于行业领先地位，具备成熟的 CentOS 迁移和替换能力，可满足云计算、大数据、分布式存储、人工智能、边缘计算等应用场景需求。详细介绍见官网链接浪潮信息云峦服务器操作系统KeyarchOS_KOS服务器操作系统-浪潮信息

2 安装环境

2.1 操作系统环境

版本信息：KeyarchOS 5.8sp1

硬件平台：X86_64

2.2 工具版本

clair v2.1.0

harbor v2.1.0

docker

docker-compose v2.20.2

3 安装与配置

3.1 安装docker

1. 安装docker，docker在默认KOS源中存在，可直接命令行安装。执行如下命令。

dnf install docker

启动docker守护进程。

systemctl start docker.service

systemctl enable docker.service

查看docker运行状态。

3.2 安装docker-compose

1、资源下载https://github.com/docker/compose/releases/download/v2.20.2/docker-compose-linux-x86_64

docker-compose下载后执行如下命令赋予其执行权限。

chmod +x docker-compose-linux-x86_64

mv docker-compose-linux-x86_64 /usr/bin/docker-compose

./docker-compose

使用如下命令查看docker-compose版本信息。

下载Clair的docker-compose文件

curl –L https://raw.githubusercontent.com/coreos/clair/master/docker-compose.yaml > docker-compose.yaml

如果该段时间下载较慢可更换国内docker源，具体命令如下。

sudo vim /etc/docker/daemon.json

输入

{

"registry-mirrors": ["https://cr.console.aliyun.com "]

}

重启docker服务systemctl restart docker.service

下载config_yaml文件

创建目录 mkdir clair_config   vi config.yaml

curl https://raw.githubusercontent.com/coreos/clair/v2.0.1/config.example.yaml -o config/config.yaml

在docker-compose.yml的路径下构建镜像并启动容器

docker-compose up -d

启动后确认docker-compose ps

3.3 安装harbor

harbor集成了clair到其功能之中，这也是和其他同类工具相比一个突出的亮点，而在其集成的实现中，首先clair的功能依然是靠其官方镜像和postgres结合形成，而扫描之后的信息则通过harbor自身的数据库进行保存。

1. 资源下载

https://github.com/goharbor/harbor/releases/download/v2.1.0/harbor-online-installer-v2.1.0.tgz

解压

1. 制作harbor.yml文件

进入目录 cp harbor.yml.tmpl harbor.yml

vim harbor.yml 更改hostname

3、安装并集成clair

./prepare

./install.sh --with-clair

4、结果确认

登陆验证hostname+port 账户admin 默认密码为Harbor12345（根据自己在yml文件的设置）

4 Clair扫描

4.1 推送镜像

4.2 安全扫描