devopstales/trivy-operator

Trivy Operator

Trivy Operator是一个Kubernetes Operator，主要用于镜像的定时扫描和准入控制。其设计灵感来源于https://github.com/knqyf263%E7%9A%84https://github.com/aquasecurity/trivy-enforcer%E5%92%8Chttps://github.com/fleeto%E7%9A%84https://github.com/fleeto/trivy-scanner%E9%A1%B9%E7%9B%AE%E3%80%82

支持的标签及对应的Dockerfile链接

详见https://github.com/devopstales/trivy-operator

简单标签

• https://github.com/devopstales/trivy-operator/blob/2.5/docker/trivy-operator/Dockerfile
• https://github.com/devopstales/trivy-operator/blob/2.4/docker/Dockerfile
• https://github.com/devopstales/trivy-operator/blob/2.3/docker/Dockerfile
• https://github.com/devopstales/trivy-operator/blob/2.2/docker/Dockerfile
• https://github.com/devopstales/trivy-operator/blob/2.1/docker/Dockerfile
• https://github.com/devopstales/trivy-operator/blob/2.0.0/docker/Dockerfile
• https://github.com/devopstales/trivy-operator/blob/1.0.0/docker/Dockerfile

核心功能和特性

定时镜像扫描

默认每5分钟执行一次扫描脚本。该脚本会从所有带有标签trivy-scan=true的命名空间中获取镜像列表，然后使用Trivy对这些镜像进行扫描。扫描结果的指标可通过http://[pod-ip]:9115/metrics访问。

Trivy镜像验证器

准入控制器功能可配置为Kubernetes集群中的ValidatingWebhook。当Pod创建请求发起时，Kubernetes会向准入服务器发送请求。准入控制器将使用Trivy检查镜像，仅对带有标签trivy-operator-validation=true的命名空间中的镜像执行检查。

使用场景和适用范围

• 持续镜像安全监控：适用于需要定期扫描集群中镜像漏洞的Kubernetes环境。
• Pod创建安全控制：适用于希望在Pod创建阶段对镜像进行安全验证，防止不安全镜像部署的场景。
• 安全指标收集：可集成到监控系统中，通过暴露的 metrics 端点收集镜像安全状态数据。

使用方法和配置说明

定时扫描配置

1. 为需要进行定时扫描的命名空间添加标签：

   bash
   kubectl label namespace <namespace-name> trivy-scan=true
   

2. 部署Trivy Operator后，将自动对带有上述标签的命名空间中的镜像每5分钟执行一次扫描。
3. 访问Pod的9115端口获取扫描指标：

   bash
   kubectl port-forward <trivy-operator-pod> 9115:9115
   curl http://localhost:9115/metrics
   

准入控制配置

1. 为需要启用镜像验证的命名空间添加标签：

   bash
   kubectl label namespace <namespace-name> trivy-operator-validation=true
   

2. 在Kubernetes集群中配置ValidatingWebhook，将Pod创建请求路由至Trivy Operator的准入服务器。
3. 当在带有上述标签的命名空间中创建Pod时，Trivy Operator将自动对镜像进行安全检查，检查不通过时将阻止Pod创建。