codefresh/cfstep-paclair

cfstep-paclair ![Codefresh build status]( [***]

镜像概述

cfstep-paclair是一个自定义Docker镜像，用于在Codefresh流水线中集成Clair安全扫描功能，帮助用户自动化检测Docker镜像中的安全漏洞，保障镜像的安全性。

核心功能

1. 与Clair实例对接，执行Docker镜像的安全漏洞扫描
2. 支持设置漏洞 severity 阈值（critical/high/medium等），超过阈值时终止流水线
3. 可将扫描报告上传至AWS S3桶进行存储与审计

使用场景

1. Codefresh流水线中，对构建完成的Docker镜像进行安全合规检查
2. 自动化拦截存在高风险漏洞的镜像，避免不安全镜像部署
3. 存储扫描报告用于安全审计或漏洞跟踪

配置说明

前置条件

• 拥有Codefresh订阅账号（[***]
• 已部署Clair实例（可通过Helm Chart安装：https://github.com/coreos/clair/tree/master/contrib/helm%EF%BC%89
• 参考paclair文档：https://github.com/yebinama/paclair

环境变量列表

需在Codefresh流水线中配置以下环境变量：

漏洞阈值说明

若设置SEVERITY_THRESHOLD，当镜像中存在等于或高于该阈值的漏洞时，流水线会失败。例如，阈值设为high时，存在high或critical漏洞会终止构建。

Codefresh流水线示例

console
version: '1.0'
steps:
  BuildingDockerImage:
    title: 构建Docker镜像
    type: build
    image_name: codefresh/demochat # 替换为你的镜像名称
    working_directory: ./
    dockerfile: Dockerfile
    tag: '${{CF_BRANCH_TAG_NORMALIZED}}'
  CheckClair:
    image: codefresh/cfstep-paclair:3.0.0
    environment:
      - CF_ACCOUNT=dustinvanbuskirk
      - IMAGE=example-voting-app/worker # 替换为你的镜像名称
      - TAG=${{CF_BRANCH_TAG_NORMALIZED}}
    on_success: # 步骤成功时执行
      metadata: # 声明元数据
        set: # 设置操作
          - ${{BuildingDockerImage.imageId}}: # 目标镜像
            - SECURITY_SCAN: true
    on_fail: # 步骤失败时执行
      metadata: # 声明元数据
        set: # 设置操作
          - ${{BuildingDockerImage.imageId}}: # 目标镜像
            - SECURITY_SCAN: false
  ArchiveReport:
    image: mesosphere/aws-cli
    commands:
      - aws s3 cp ./reports/clair-scan-example-voting-app-worker-${{CF_BRANCH_TAG_NORMALIZED}}.html s3://${{S3_BUCKETNAME}}/${{CF_BUILD_ID}}/clair-scan-example-voting-app-worker-${{CF_BRANCH_TAG_NORMALIZED}}.html --acl public-read
    on_success:
     metadata:
        set:
          - ${{BuildingDockerImage.imageId}}:
              - CLAIR_REPORT: "https://s3.amazonaws.com/${{S3_BUCKETNAME}}/${{CF_BUILD_ID}}/clair-scan-example-voting-app-worker-${{CF_BRANCH_TAG_NORMALIZED}}.html"

报告存储可选变量

若需将报告存储至AWS S3，需配置以下变量：