denimgroup/appsec

tfc-appsec 镜像文档

概述

tfc-appsec 是一个专为 Terraform Cloud (TFC) 环境设计的应用安全工具镜像，旨在通过集成安全扫描、漏洞检测和合规性检查功能，帮助团队在基础设施即代码 (IaC) 的开发和部署过程中识别并修复安全风险，确保 Terraform 配置的安全性和合规性。

核心功能与特性

• 安全扫描：对 Terraform 配置文件进行静态代码分析，识别潜在的安全漏洞和配置错误
• 漏洞检测：检测 Terraform 模块、提供程序及依赖项中的已知安全漏洞
• 合规性检查：支持自定义合规策略，验证配置是否符合组织安全标准和行业规范（如 CIS、PCI-DSS 等）
• 集成 TFC：与 Terraform Cloud 无缝集成，可在工作流中自动触发安全检查
• 报告生成：生成详细的安全评估报告，支持多种格式（JSON、HTML、PDF）

使用场景

• Terraform 配置开发阶段的安全审查
• CI/CD 流水线中集成 IaC 安全检查
• Terraform Cloud 工作空间的合规性监控
• 大规模 IaC 项目的安全治理和风险评估

使用方法

基本使用（Docker Run）

bash
docker run -v $(pwd):/workspace docker.xuanyuan.run/tfc-appsec scan --directory /workspace

• -v $(pwd):/workspace：将本地当前目录挂载到容器内的 /workspace 目录，用于扫描本地 Terraform 配置
• scan --directory /workspace：执行安全扫描命令，指定扫描目录为 /workspace

Docker Compose 配置示例

yaml
version: '3'
services:
  tfc-appsec:
    image: docker.xuanyuan.run/tfc-appsec
    volumes:
      - ./terraform:/workspace
    environment:
      - TFC_TOKEN=your_tfc_api_token
      - SCAN_SEVERITY=high
    command: scan --directory /workspace --output report.html

环境变量配置

注意事项

• 确保挂载的 Terraform 配置目录包含有效的 .tf 文件
• 使用 TFC 集成功能时，需提供具有适当权限的 TFC API 令牌
• 首次运行时可能需要拉取漏洞数据库，建议在网络良好的环境下执行