malphites/clair

Clair

![Build Status]([] ![Docker Repository on Quay]([] ![Go Report Card]([] https://godoc.org/github.com/coreos/clair?status.svg "GoDoc"](https://godoc.org/github.com/coreos/clair) ![IRC Channel]([]

注意：master分支在开发期间可能处于不稳定或损坏状态。请使用https://github.com/coreos/clair/releases而非master分支以获取稳定二进制文件。

!Clair Logo

Clair是一个开源项目，用于对应用容器（目前支持https://github.com/appc/spec和https://github.com/docker/docker/blob/master/image/spec/v1.2.md）进行漏洞静态分析。

1. 定期从配置的数据源摄入漏洞元数据并存储到数据库；
2. 客户端通过Clair API索引容器镜像，解析已安装的源包列表并存储到数据库；
3. 客户端通过Clair API查询数据库，实时关联数据而非依赖需重新扫描的缓存结果；
4. 当漏洞元数据更新时，可配置webhook通知受影响镜像，用于预警或阻止部署。

我们的目标是让容器基础设施的安全性更透明，因此项目命名为Clair（法语意为清晰、透明）。

使用场景

• 从互联网获取镜像后，需确认其是否足够安全以用于生产环境；
• 定期部署到容器化生产环境，希望对不安全软件发出警报或阻止部署。

文档

• CoreOS官网提供最新稳定版文档的渲染版本；
• 文档目录包含文档的源markdown文件。

部署Clair

容器仓库

Clair官方打包并发布为容器：

• quay.io/coreos/clair - 稳定版本
• quay.io/coreos/clair-jwt - 嵌入https://github.com/coreos/jwtproxy的稳定版本
• quay.io/coreos/clair-git - 开发版本

商业支持

Clair作为Quay安全扫描功能的数据源提供专业支持。使用Clair的设置文档可在CoreOS官网的Quay文档中找到，请根据部署的Quay版本调整文档版本。

社区支持

注意：以下说明演示运行HEAD版本而非稳定版本，所有说明均需数据库实例支持。

Clair当前支持并测试以下数据库：

• Postgres 9.4
• Postgres 9.5
• Postgres 9.6

Kubernetes部署

若本地无Kubernetes集群，可使用https://github.com/kubernetes/minikube：

git clone https://github.com/coreos/clair
cd clair/contrib/k8s
kubectl create secret generic clairsecret --from-file=./config.yaml
kubectl create -f clair-kubernetes.yaml

Docker Compose部署

sh
$ curl -L https://raw.githubusercontent.com/coreos/clair/master/docker-compose.yml -o $HOME/docker-compose.yml
$ mkdir $HOME/clair_config
$ curl -L https://raw.githubusercontent.com/coreos/clair/master/config.example.yaml -o $HOME/clair_config/config.yaml
$ $EDITOR $HOME/clair_config/config.yaml # 编辑数据库源为postgresql://postgres:password@postgres:5432?sslmode=disable
$ docker-compose -f $HOME/docker-compose.yml up -d

若Clair在Postgres前启动导致错误，手动执行docker-compose start clair即可。

Docker部署

sh
$ mkdir $PWD/clair_config
$ curl -L https://raw.githubusercontent.com/coreos/clair/master/config.example.yaml -o $PWD/clair_config/config.yaml
$ docker run -d -e POSTGRES_PASSWORD="" -p 5432:5432 postgres:9.6
$ docker run -d -p 6060-6061:6060-6061 -v $PWD/clair_config:/config quay.io/coreos/clair-git:latest -config=/config/config.yaml

源码部署

需安装最新稳定版https://github.com/golang/go/releases及配置Go环境，此外还需以下工具在系统$PATH中：

• git
• bzr
• rpm
• xz

sh
$ go get github.com/coreos/clair
$ go install github.com/coreos/clair/cmd/clair
$ $EDITOR config.yaml # 添加Postgres数据库URI
$ ./$GOPATH/bin/clair -config=config.yaml

常见问题

谁在使用Clair？

生产用户和第三方集成可在本地文档的https://github.com/coreos/clair/blob/master/Documentation/production-users.md和https://github.com/coreos/clair/blob/master/Documentation/integrations.md页面查看。

静态分析的含义？

Clair采用静态分析，无需运行容器，仅检查容器镜像的文件系统并将特征索引到数据库，仅当添加新检测器时才需重新扫描。

当前支持的数据源？

首次启动Clair无响应？

首次运行时Clair会从数据源引导数据库，可能需要数分钟完成，后续更新会更快。