简介

Trivy Operator 利用 https://github.com/aquasecurity/trivy 持续扫描您的 Kubernetes 集群以发现安全问题。扫描结果汇总为 Kubernetes https://aquasecurity.github.io/trivy-operator/latest/docs/crds/ 格式的安全报告，可通过 Kubernetes API 访问。Operator 通过监控 Kubernetes 状态变化并自动触发安全扫描来实现这一功能。例如，创建新 Pod 时会启动漏洞扫描。 通过这种方式，用户可以以“Kubernetes 原生”方式查找和查看与不同资源相关的风险。

集群内安全扫描

Trivy Operator 会自动生成和更新安全报告。这些报告是响应 Kubernetes 集群上的新工作负载和其他变化而生成的，具体包括以下报告类型：

• 漏洞扫描：针对 Kubernetes 工作负载、控制平面和节点组件（api-server、controller-manager、kubelet 等）的自动化漏洞扫描
• 配置审计扫描：使用预定义规则或自定义 Open Policy Agent (OPA) 策略对 Kubernetes 资源进行自动化配置审计
• 暴露密钥扫描：自动发现并详细说明集群内暴露密钥的位置
• RBAC 扫描：基于角色的访问控制扫描，提供已安装不同资源的访问权限详细信息
• Kubernetes 核心组件基础设施评估扫描：Kubernetes 基础设施核心组件（etcd、apiserver、scheduler、controller-manager 等）的设置和配置检查
• Kubernetes 过时 API 验证：配置审计检查将验证资源 API 是否已被弃用并计划移除
• 合规性报告
  • 生成 NSA、CISA Kubernetes 强化指南 v1.1 网络安全技术报告
  • 生成 CIS Kubernetes 基准 v1.23 网络安全技术报告
  • Kubernetes pss-baseline（Pod 安全标准）
  • Kubernetes pss-restricted（Pod 安全标准）
• SBOM（软件物料清单生成）：针对 Kubernetes 工作负载

用法

官方 https://aquasecurity.github.io/trivy-operator/latest 提供了详细的安装、配置、故障排除和快速入门指南。

您可以通过 https://aquasecurity.github.io/trivy-operator/latest/getting-started/installation/kubectl/ 安装 Trivy-operator Operator，并按照 https://aquasecurity.github.io/trivy-operator/latest/ 指南了解漏洞和配置审计报告如何自动生成。

快速入门

Trivy Operator 可通过 https://aquasecurity.github.io/trivy-operator/latest/getting-started/installation/helm/ 轻松安装。可通过以下两种方式下载 Helm Chart：

选项 1：从传统 Helm 图表仓库安装

添加 Aqua 图表仓库：

helm repo add aqua https://aquasecurity.github.io/helm-charts/
helm repo update

安装 Helm Chart：

helm install trivy-operator aqua/trivy-operator \
--namespace trivy-system \
--create-namespace \
--version 0.32.1

选项 2：从 OCI registry 安装（支持 Helm v3.8.0+）

安装 Helm Chart：

helm install trivy-operator oci://ghcr.io/aquasecurity/helm-charts/trivy-operator \
--namespace trivy-system \
--create-namespace \
--version 0.32.1

这将把 Trivy Helm Chart 安装到 trivy-system 命名空间并开始触发扫描。

状态

尽管我们努力保持新版本与旧版本的向后兼容性，但该项目仍处于孵化阶段，部分 API 和 https://aquasecurity.github.io/trivy-operator/latest/docs/crds/ 可能会发生变化。

贡献

在这个早期阶段，我们非常希望您能就 Trivy-Operator 的整体概念提供反馈。随着时间的推移，我们期待看到集成不同安全工具的贡献，以便用户能够以标准的 Kubernetes 原生方式访问安全信息。

• 有关设置开发环境和我们期望的贡献工作流的信息，请参见 Contributing。
• 请确保在与 Aqua 项目及其社区的任何互动中遵守我们的 https://github.com/aquasecurity/community/blob/main/CODE_OF_CONDUCT.md%E3%80%82

Trivy-Operator 是 Aqua Security 的开源项目。 了解我们的 [开源工作与项目组合]。 加入社区，在 https://github.com/aquasecurity/trivy-operator/discussions 或 Slack 上与我们讨论任何问题。