philipssoftware/tern

docker-tern

镜像概述和主要用途

docker-tern是Philips Software提供的Docker镜像，内置tern工具，用于提取Docker镜像的物料清单(BOM)。该镜像支持多种BOM导出格式，提供镜像签名验证和SLSA-provenance验证机制，并包含版本追踪文件，适用于Docker镜像成分分析、安全审计和合规检查场景。

核心功能和特性

• BOM提取：支持从Docker镜像中提取详细的物料清单，包含软件包信息
• 多格式导出：支持多种BOM导出格式（如JSON等），具体格式可参考tern官方文档
• 安全验证：提供镜像签名验证和SLSA-provenance验证功能，确保镜像完整性和来源可信
• 版本追踪：包含REPO和TAGS文件，记录镜像构建来源和关联标签，便于版本固定

可用版本

当前可用版本结构：

.
├── 2
│   ├── scancode
│   └── vanilla
├── latest
│   └── tern
└── local
    └── tern

使用场景和适用范围

• Docker镜像成分分析与审计
• 软件供应链安全检查
• 合规性文档生成（如SBOM）
• 开发与生产环境中Docker镜像版本管理

使用方法和配置说明

镜像获取

镜像托管于Docker Hub：https://hub.docker.com/r/philipssoftware/tern/

基本运行要求

由于tern依赖Docker，需以--privileged模式运行容器，并挂载主机的docker.sock：

bash
docker run --rm -v /var/run/docker.sock:/var/run/docker.sock docker.xuanyuan.run/philipssoftware/tern --version

提取Docker镜像BOM

基本示例

bash
# 创建输出目录
mkdir my_dir

# 提取Debian Buster镜像的BOM并导出为JSON格式
docker run --rm -v /var/run/docker.sock:/var/run/docker.sock docker.xuanyuan.run/philipssoftware/tern report -f json -i debian:buster > debian_buster.json

上述命令将生成包含Debian Buster官方镜像BOM信息的debian_buster.json文件。更多导出格式可参考https://github.com/vmware/tern。

镜像安全验证

镜像签名验证

使用Cosign工具验证镜像签名：

bash
cosign verify --key cosign.pub philipssoftware/tern | jq .

SLSA-provenance验证

验证镜像的SLSA-provenance文件：

bash
# 获取镜像的RepoDigest
repodigest=$(docker inspect philipssoftware/tern | jq -r .[0].RepoDigests[0])

# 验证provenance并解析内容
cosign verify-attestation --key cosign.pub $repodigest | jq -r '.payload' | base64 -d | jq .

版本追踪文件

镜像包含两个版本追踪文件：

REPO文件

记录镜像构建的代码仓库及具体commit-sha：

bash
docker run docker.xuanyuan.run/philipssoftware/tern:latest cat REPO
# 示例输出：https://github.com/philips-software/docker-tern/tree/14ab374e0812ba03e32e5f2c81c7c9dfb8ef7958

TAGS文件

记录镜像创建时的关联标签：

bash
docker run docker.xuanyuan.run/philipssoftware/tern cat TAGS
# 示例输出：tern:2 tern:latest

可使用TAGS文件中的标签进行生产环境版本固定，建议选择最后一个最具体的标签。

镜像内容

除tern工具外，镜像还包含：

• REPO：构建来源仓库及commit信息
• TAGS：关联标签列表

常见问题

为什么需要独立的Docker镜像定义？

为在容器环境中快速获取必要工具（如tern），避免重复安装，提高开发和审计效率。

问题反馈

如有问题，请在https://github.com/philips-software/docker-tern/issues提交。

作者

• Thales Sousa <***>
• Jeroen Knoops <***>

许可证

MIT许可证，详见LICENSE文件

Philips Forest

本模块是Philips Forest的一部分，相关问题可在Slack的docker-images频道与forestkeepers交流。