tgray96/container-scan-image

GitLab CI/CD容器扫描整合镜像

镜像概述

GitLab CI/CD容器扫描整合镜像是专为GitLab CI/CD流程设计的工具整合镜像，旨在简化容器镜像的安全扫描流程。该镜像集成了容器扫描所需的核心工具与依赖，可直接在GitLab CI/CD流水线中调用，实现对容器镜像的自动化安全检测、漏洞分析及合规性检查。

核心功能与特性

• 工具整合：集成主流容器扫描工具（如Trivy、Clair等），无需单独配置依赖
• CI/CD原生支持：与GitLab CI/CD流程无缝集成，支持流水线触发扫描
• 报告生成：自动生成标准化扫描报告，支持GitLab安全仪表板集成
• 可定制化：支持自定义扫描规则、漏洞严重级别过滤及扫描范围配置
• 轻量级设计：优化镜像体积，减少CI/CD流程执行时间

使用场景与适用范围

• GitLab CI/CD流水线：在容器镜像构建后自动执行安全扫描
• 容器漏洞检测：识别镜像中的操作系统漏洞、应用依赖漏洞
• 合规性检查：验证容器镜像是否符合企业安全策略及行业规范
• 开发流程集成：在开发阶段早期发现并修复容器安全问题，降低生产环境风险

使用方法与配置说明

基本使用（docker run）

bash
docker run --rm \
  -e SCAN_IMAGE="registry.example.com/app:latest" \
  -e GITLAB_TOKEN="your-gitlab-api-token" \
  gitlab-cicd-consolidated-image-for-container-scanning

GitLab CI/CD配置示例（.gitlab-ci.yml）

yaml
container_scanning:
  image: gitlab-cicd-consolidated-image-for-container-scanning
  variables:
    SCAN_IMAGE: "$CI_REGISTRY_IMAGE:$CI_COMMIT_SHA"  # 扫描当前构建的镜像
    SCAN_SEVERITY: "CRITICAL,HIGH"  # 仅报告严重和高危漏洞
    GITLAB_TOKEN: "$CI_JOB_TOKEN"   # 使用GitLab内置Job Token
  script:
    - /scan.sh  # 执行扫描脚本
  artifacts:
    reports:
      container_scanning: gl-container-scanning-report.json  # 生成GitLab兼容报告

环境变量配置

docker-compose配置示例

yaml
version: '3'
services:
  container-scan:
    image: gitlab-cicd-consolidated-image-for-container-scanning
    environment:
      - SCAN_IMAGE=my-app:latest
      - SCAN_SEVERITY=CRITICAL
      - SCAN_REGISTRY_USER=myuser
      - SCAN_REGISTRY_PASSWORD=mypass
    volumes:
      - ./scan-reports:/reports  # 挂载目录保存扫描报告

注意事项

• 确保GitLab Runner具有拉取该镜像的权限
• 对于私有镜像仓库，需正确配置SCAN_REGISTRY_USER和SCAN_REGISTRY_PASSWORD
• 扫描报告默认保存在容器内/gl-container-scanning-report.json路径，建议通过artifacts或卷挂载持久化
• 根据镜像大小和网络状况，可能需要调整SCAN_TIMEOUT参数