anchore/inline-scan

Anchore Inline Scan

镜像概述和主要用途

Anchore Inline Scan是一个特殊打包的容器，包含anchore-engine、注册表和postgresdb，用于对本地Docker镜像执行一次性分析、漏洞扫描和策略评估，无需从远程注册表获取镜像。该镜像作为inline_scan脚本的内部组件，负责执行扫描并处理输入/输出。

核心功能和特性

• 集成必要组件：包含anchore-engine、PostgreSQL 9.6和Docker Registry，无需额外部署依赖服务
• 本地镜像支持：可分析本地Docker镜像归档文件（image+tag.tar格式）或通过docker save命令的标准输入获取镜像
• 安全扫描能力：支持漏洞检测和策略评估，确保镜像符合安全规范
• 无状态设计：基于无状态Anchore Engine，适合一次性扫描场景

使用场景和适用范围

• 本地开发环境中对Docker镜像进行安全漏洞检测
• CI/CD流程中集成镜像扫描步骤，确保构建产物符合安全策略
• 无需访问远程镜像仓库的离线环境镜像分析
• 需要快速生成镜像安全报告的场景

使用方法和配置说明

基本用法

启动Anchore Engine、PostgreSQL 9.6和Docker Registry，扫描位于/anchore-engine目录下的镜像归档文件（image+tag.tar格式），或通过docker save命令的标准输入接收镜像数据。

参数说明

Usage: ${0##*/} [ -f ] [ -r ] [ -d Dockerfile ] [ -b policy.json ] [ -i IMAGE_ONE ] [ -t 300 ]
    -d  [可选] Dockerfile名称 - 必须挂载/复制到/anchore-engine目录
    -i  [可选] 镜像名称或文件位置（若通过管道输入docker save的标准输出，则使用镜像名称）
    -b  [可选] Anchore策略包名称 - 必须挂载/复制到/anchore-engine目录
    -f  [可选] 当Anchore策略评估失败时退出脚本
    -r  [可选] 生成分析报告
    -t  [可选] 指定镜像扫描超时时间（默认300秒）

部署示例

扫描本地镜像归档文件

bash
# 将本地镜像保存为归档文件
docker save myimage:tag -o /path/to/local/images/myimage-tag.tar

# 运行扫描容器，挂载镜像归档目录
docker run -v /path/to/local/images:/anchore-engine anchore/inline-scan -i myimage-tag.tar -r

通过管道输入扫描

bash
# 直接通过docker save的输出进行扫描
docker save myimage:tag | docker run -i -v /path/to/policy.json:/anchore-engine/policy.json anchore/inline-scan -i myimage:tag -b policy.json -f

更多信息

• 脚本完整用法：https://github.com/anchore/ci-tools/blob/master/scripts/inline_scan
• Dockerfile：https://github.com/anchore/ci-tools/blob/master/Dockerfile
• 完整内联扫描流程实现脚本：https://github.com/anchore/ci-tools