anchore/anchore-engine

Anchore Engine ![CircleCI]([***]

重要说明

自2023年起，Anchore Engine已停止维护，不会再发布新版本。建议用户使用https://github.com/anchore/syft%E5%92%8Chttps://github.com/anchore/grype%E3%80%82

对于需要受支持的商业容器扫描与合规解决方案的用户，可预约演示了解Anchore Enterprise的企业级功能，包括SBOM管理、漏洞管理和合规管理。

关于

Anchore Engine是一个开源项目，提供容器镜像的集中式检查、分析和认证服务。它以Docker容器镜像形式提供，可独立运行或部署在Kubernetes、Docker Swarm、Rancher、Amazon ECS等容器编排平台中。

在环境中部署Anchore Engine后，系统会从Docker V2兼容的容器仓库下载并分析容器镜像，然后根据漏洞数据库进行评估。

历史文档可访问Anchore文档。

Anchore Engine可通过RESTful API直接访问，或通过Anchore https://github.com/anchore/anchore-cli%E8%AE%BF%E9%97%AE%E3%80%82

支持的操作系统

• Alpine
• Amazon Linux 2
• CentOS
• Debian
• Google Distroless
• Oracle Linux
• Red Hat Enterprise Linux
• Red Hat Universal Base Image (UBI)
• Ubuntu

支持的包类型

• GEM
• Java Archive (jar, war, ear)
• NPM
• Python (PIP)
• Go Modules

安装

有多种方式开始使用Anchore Engine，有关使用docker-compose、Helm等进行快速启动和生产环境完整安装的最新信息，请访问：

• Anchore Engine安装文档

Anchore Engine作为https://hub.docker.com/r/anchore/anchore-engine/%E5%8F%91%E5%B8%83%EF%BC%8C%E5%8F%AF%E4%BB%8EDockerHub%E8%8E%B7%E5%8F%96%E3%80%82

快速启动（TLDR）

完整快速启动指南请参见文档。

在已安装docker和docker-compose的系统上，通过以下步骤快速启动Anchore Engine：

curl https://engine.anchore.io/docs/quickstart/docker-compose.yaml > docker-compose.yaml
docker-compose up -d

引擎启动后，可使用CLI与系统交互。

使用CLI开始

https://github.com/anchore/anchore-cli%E6%98%AF%E6%8E%A7%E5%88%B6%E5%92%8C%E4%BA%A4%E4%BA%92Anchore Engine的便捷工具。

Anchore CLI可通过Python pip命令安装，或从https://hub.docker.com/r/anchore/engine-cli%E5%AE%B9%E5%99%A8%E9%95%9C%E5%83%8F%E8%BF%90%E8%A1%8C%E3%80%82%E6%9B%B4%E5%A4%9A%E5%AE%89%E8%A3%85%E9%80%89%E9%A1%B9%E5%92%8C%E4%BD%BF%E7%94%A8%E6%96%B9%E6%B3%95%EF%BC%8C%E8%AF%B7%E5%8F%82%E8%A7%81GitHub%E4%B8%8A%E7%9A%84https://github.com/anchore/anchore-cli%E9%A1%B9%E7%9B%AE%E3%80%82

CLI快速启动（TLDR）

默认情况下，Anchore CLI尝试连接到http://localhost:8228/v1的Anchore Engine，无需认证。服务器的用户名、密码和URL可通过命令行参数传递：

--u   TEXT   用户名     例如：admin
--p   TEXT   密码     例如：foobar
--url TEXT   服务URL  例如：http://localhost:8228/v1

也可通过环境变量设置这些参数，避免每次调用工具时重复输入：

ANCHORE_CLI_URL=[***]
ANCHORE_CLI_USER=admin
ANCHORE_CLI_PASS=foobar

向Anchore Engine添加镜像：

anchore-cli image add docker.io/library/debian:latest

等待镜像进入"analyzed"状态：

anchore-cli image wait docker.io/library/debian:latest

列出Anchore Engine分析过的镜像：

anchore-cli image list

获取镜像概览和摘要信息：

anchore-cli image get docker.io/library/debian:latest

列出feeds并等待至少一个漏洞数据feed同步完成。首次同步可能需要20-30分钟，之后同步仅合并增量数据：

anchore-cli system feeds list
anchore-cli system wait

获取镜像的漏洞扫描结果：

anchore-cli image vuln docker.io/library/debian:latest os

列出镜像中存在的操作系统包：

anchore-cli image content docker.io/library/debian:latest os

API

外部API（用户面向服务）定义参见https://github.com/anchore/anchore-engine/blob/master/anchore_engine/services/apiext/swagger/swagger.yaml%E3%80%82%E8%8B%A5Anchore Engine正在运行，也可通过浏览器访问http://:8228/v1/ui/查看Swagger（注意：需要尾部斜杠才能正确显示嵌入式Swagger UI）。

每个服务都实现自己的API，所有API均通过Swagger/OpenAPI规范定义，可在_anchore_engine/services//api/swagger_目录中找到。

更多信息

有关Anchore CLI与Anchore Engine配合使用的更多详情，请参考Anchore Engine文档。

开发

本仓库于2020年11月使用Black进行了格式化。由于该提交影响大量文件，使用git blame时可忽略此提交。要忽略该提交，需配置git-blame使用提供的.git-blame-ignore-revs文件作为忽略提交列表。

在源代码树根目录运行以下命令，设置本地git配置以使用提供的文件： git config blame.ignoreRevsFile .git-blame-ignore-revs