anchore/ecs-inventory

Anchore ECS镜像元数据收集代理

镜像概述和主要用途

该Docker镜像为Anchore的专用代理组件，专门设计用于与AWS ECS（Elastic Container Service）集群集成。其核心功能是自动收集集群中当前运行的容器镜像的在用清单及相关元数据，帮助用户实时掌握ECS集群内镜像的实际使用情况，为镜像资产管理、合规审计和安全监控提供数据支持。

核心功能和特性

• 在用镜像清单收集：扫描AWS ECS集群中所有运行中的任务，识别并记录正在使用的容器镜像信息
• 元数据采集：获取镜像关键元数据，包括镜像ID、标签、拉取源、创建时间、大小等详细属性
• AWS ECS原生集成：通过AWS ECS API无缝对接，无需额外集群内组件部署
• 数据标准化：将采集的数据格式化为Anchore服务兼容的结构，支持后续分析和处理
• 低侵入性：以代理模式运行，不影响ECS集群原有任务调度和运行性能

使用场景和适用范围

• ECS镜像资产管理：适用于需要集中监控AWS ECS集群中镜像部署情况的用户，掌握镜像版本分布和使用频率
• 合规审计：满足***、***等行业对容器镜像使用记录的合规性要求，提供可追溯的镜像使用日志
• 安全监控前置：为镜像漏洞扫描、***软件检测等安全分析提供在用镜像基线数据
• 资源优化：识别长期未更新或冗余的镜像，辅助优化镜像存储和拉取带宽成本

使用方法和配置说明

前置条件

• 已部署Anchore服务（Enterprise或Community Edition）
• 拥有AWS ECS集群访问权限的IAM角色或访问密钥（需具备ecs:ListClusters、ecs:ListTasks、ecs:DescribeTasks权限）
• 网络可连通AWS ECS API端点和Anchore服务地址

Docker Run快速启动

bash
docker run -d \
  --name anchore-ecs-agent \
  -e AWS_ACCESS_KEY_ID=AKIAEXAMPLEKEY \
  -e AWS_SECRET_ACCESS_KEY=secretExampleKey \
  -e AWS_REGION=us-west-2 \
  -e ECS_CLUSTER_NAME=my-ecs-cluster \
  -e ANCHORE_SERVICE_URL=https://anchore.example.com:8228 \
  anchore/ecs-agent:latest

Docker Compose配置示例

yaml
version: '3.8'
services:
  anchore-ecs-agent:
    image: anchore/ecs-agent:latest
    container_name: anchore-ecs-agent
    environment:
      - AWS_ACCESS_KEY_ID=AKIAEXAMPLEKEY
      - AWS_SECRET_ACCESS_KEY=secretExampleKey
      - AWS_REGION=us-west-2
      - ECS_CLUSTER_NAME=my-ecs-cluster
      - ANCHORE_SERVICE_URL=https://anchore.example.com:8228
      - POLL_INTERVAL=300  # 数据采集间隔（秒），默认300
      - LOG_LEVEL=info  # 日志级别：debug/info/warn/error，默认info
    restart: unless-stopped

核心配置参数说明

数据上报说明

采集的镜像数据将通过HTTPS协议上报至ANCHORE_SERVICE_URL指定的Anchore服务，可在Anchore UI或通过API查询以下信息：

• 集群在用镜像清单（按镜像ID/标签分组）
• 镜像部署时间线（首次部署、最近更新时间）
• 跨集群镜像分布对比
• 镜像元数据变更历史记录

故障排查提示

• 若无法采集数据，检查AWS IAM权限是否完整或访问密钥有效性
• 日志中出现ECS API timeout时，确认网络连通性及AWS区域配置正确性
• 数据未在Anchore服务显示时，验证ANCHORE_SERVICE_URL和ANCHORE_API_KEY配置是否正确