kostyrev/docker-trivy-awscli

Trivy-AWSCLI 镜像文档

镜像概述

本镜像基于Docker构建，集成了Trivy漏洞扫描工具与AWS CLI（Amazon Web Services命令行界面）。Trivy是一款简单易用的容器漏洞扫描工具，支持对容器镜像、文件系统、Git仓库等进行安全漏洞检测；AWS CLI则提供了与AWS服务交互的命令行能力。本镜像旨在为用户提供一站式的容器安全扫描与AWS资源管理解决方案。

核心功能和特性

• Trivy集成：内置Trivy工具，支持扫描容器镜像、OCI镜像、文件系统等，可检测操作系统漏洞、应用依赖漏洞、配置问题等
• AWS CLI预装：已配置AWS CLI，支持与AWS服务（如ECR、S3、ECS等）直接交互
• 轻量级基础：基于官方Docker镜像构建，体积小巧，易于部署
• 兼容性强：支持多种Linux架构，可无缝集成到CI/CD流程或本地环境

使用场景

• 容器安全扫描：对本地或AWS ECR中的容器镜像进行漏洞检测
• CI/CD安全集成：在持续集成/持续部署流程中自动扫描镜像漏洞
• AWS资源管理：结合Trivy扫描结果与AWS CLI，实现漏洞报告上传至S3、触发ECR镜像扫描等操作
• 本地开发环境：开发者本地进行容器安全检测与AWS资源操作

使用方法和配置说明

基本使用（Docker Run）

bash
# 扫描本地Docker镜像
docker run --rm -v /var/run/docker.sock:/var/run/docker.sock \
  -v ~/.aws:/root/.aws \  # 挂载AWS配置文件（可选）
  trivy-awscli \
  trivy image <镜像名称:标签>

# 扫描并将结果输出为JSON格式
docker run --rm -v /var/run/docker.sock:/var/run/docker.sock \
  trivy-awscli \
  trivy image --format json --output /tmp/scan-result.json <镜像名称:标签>

AWS CLI配置

方法1：通过环境变量配置

bash
docker run --rm -e AWS_ACCESS_KEY_ID=<你的AWS访问密钥> \
  -e AWS_SECRET_ACCESS_KEY=<你的AWS密钥> \
  -e AWS_REGION=<AWS区域，如us-east-1> \
  trivy-awscli \
  aws ecr describe-repositories  # 测试AWS CLI连接

方法2：挂载本地AWS配置文件

bash
# 本地已通过aws configure配置AWS凭证
docker run --rm -v ~/.aws:/root/.aws \
  trivy-awscli \
  aws s3 ls  # 列出S3存储桶

典型场景示例

1. 扫描ECR镜像并上传结果至S3

bash
docker run --rm -v /var/run/docker.sock:/var/run/docker.sock \
  -v ~/.aws:/root/.aws \
  trivy-awscli \
  sh -c "trivy image --format json --output /tmp/scan.json <AWS_ACCOUNT_ID>.dkr.ecr.<REGION>.amazonaws.com/<镜像名称:标签> && \
         aws s3 cp /tmp/scan.json s3://<你的S3桶名>/scans/$(date +%Y%m%d_%H%M%S)_scan.json"

2. 在CI/CD流程中集成（GitLab CI示例）

yaml
scan_image:
  stage: security
  image: trivy-awscli
  variables:
    AWS_ACCESS_KEY_ID: $AWS_ACCESS_KEY_ID
    AWS_SECRET_ACCESS_KEY: $AWS_SECRET_ACCESS_KEY
    AWS_REGION: us-east-1
  script:
    - trivy image --exit-code 1 --severity HIGH,CRITICAL $CI_REGISTRY_IMAGE:$CI_COMMIT_SHA
    - aws ecr start-image-scan --repository-name $ECR_REPOSITORY --image-id imageTag=$CI_COMMIT_SHA

环境变量说明