cleveritcz/registry

Klar

镜像概述和主要用途

Klar是一个简单工具，用于通过Clair分析存储在私有或公共Docker镜像仓库中的镜像以检测安全漏洞。它作为客户端协调Docker镜像仓库和Clair之间的镜像检查，支持Clair API v1和v3，是一个无需依赖的单二进制文件，通过环境变量进行配置。

核心功能和特性

• 支持Clair API v1和v3版本
• 单二进制文件设计，无外部依赖
• 通过环境变量实现灵活配置
• 可设置漏洞严重级别阈值，仅输出指定级别及以上的漏洞
• 支持多种输出格式：标准文本、JSON和表格
• 提供CVE白名单功能，可忽略指定漏洞
• 支持忽略未修复的漏洞，不纳入阈值计算
• 允许访问具有不安全SSL证书或HTTP-only的镜像仓库
• 兼容Amazon ECR和Google GCR等云服务商镜像仓库的认证机制

使用场景和适用范围

• CI/CD流程中集成镜像安全扫描，确保部署前检测潜在漏洞
• 容器镜像仓库的定期安全审计与漏洞评估
• 私有或公共Docker镜像的自动化安全检查
• 需要快速集成Clair漏洞扫描能力的环境

安装方法

二进制安装

从https://github.com/optiopay/klar/releases/%E4%B8%8B%E8%BD%BD%E6%9C%80%E6%96%B0%E7%89%88%E6%9C%AC%EF%BC%88%E6%94%AF%E6%8C%81OSX%E5%92%8CLinux%EF%BC%89%EF%BC%8C%E5%B0%86%E4%BA%8C%E8%BF%9B%E5%88%B6%E6%96%87%E4%BB%B6%E6%94%BE%E5%85%A5%60PATH%60%E7%8E%AF%E5%A2%83%E5%8F%98%E9%87%8F%E4%B8%AD%E7%9A%84%E7%9B%AE%E5%BD%95%E5%B9%B6%E8%B5%8B%E4%BA%88%E6%89%A7%E8%A1%8C%E6%9D%83%E9%99%90%E3%80%82

源码安装

确保已安装并配置Go语言编译器（参考Go安装文档），执行以下命令：

bash
go get github.com/optiopay/klar

确保Go二进制文件目录已添加到PATH（例如：export PATH=$PATH:/usr/local/go/bin）。

使用方法和配置说明

返回码说明

• 0：检测到的高严重级别漏洞数量小于或等于阈值
• 1：检测到的高严重级别漏洞数量超过阈值
• 2：发生错误导致无法分析镜像

环境变量配置

基本用法示例

bash
CLAIR_ADDR=localhost CLAIR_OUTPUT=High CLAIR_THRESHOLD=10 DOCKER_USER=docker DOCKER_PASSWORD=secret klar postgres:9.5.1

调试输出

设置KLAR_TRACE环境变量为true可启用详细日志：

bash
export KLAR_TRACE=true

Docker化版本

构建Docker镜像

1. 进入项目根目录：$GOPATH/src/github.com/optiopay/klar
2. 构建Klar二进制文件：
   • Linux系统：

     bash
     CGO_ENABLED=0 go build -a -installsuffix cgo .
     

   • Mac系统（构建Linux版本）：

     bash
     GOOS=linux go build .
     

3. 构建Docker镜像：

   bash
   docker build -t klar .
   

运行Docker容器

创建环境变量文件my-klar.env：

env
CLAIR_ADDR=localhost
CLAIR_OUTPUT=High
CLAIR_THRESHOLD=10
DOCKER_USER=docker
DOCKER_PASSWORD=secret

运行容器：

bash
docker run --env-file=my-klar.env klar postgres:9.5.1

云服务商镜像仓库支持

Amazon ECR支持

ECR需通过aws ecr get-login获取临时凭证（有效期12小时），示例脚本：

bash
DOCKER_LOGIN=`aws ecr get-login --no-include-email`
PASSWORD=`echo $DOCKER_LOGIN | cut -d' ' -f6`
REGISTRY=`echo $DOCKER_LOGIN | cut -d' ' -f7 | sed "s/https:\/\///"`
DOCKER_USER=AWS DOCKER_PASSWORD=${PASSWORD} ./klar ${REGISTRY}/my-image

Google GCR支持

使用应用默认凭证（GCP环境中有效）：

直接运行：

bash
DOCKER_USER=oauth2accesstoken
DOCKER_PASSWORD="$(gcloud auth application-default print-access-token)"

通过Docker运行：

bash
DOCKER_USER=oauth2accesstoken
DOCKER_PASSWORD="$(docker run --rm google/cloud-sdk:alpine gcloud auth application-default print-access-token)"