tobilg/clair-dcos

clair-dcos

用于在DC/OS上运行Clair的Docker镜像。

镜像概述

本镜像提供了在DC/OS（数据中心操作系统）环境中运行Clair的容器化方案。Clair是一款开源的容器漏洞静态分析工具，能够扫描容器镜像中的已知安全漏洞，并将结果存储在Postgres数据库中。

核心功能

• 扫描容器镜像中的已知安全漏洞
• 支持DC/OS集群部署
• 与Postgres数据库集成，持久化存储漏洞数据
• 可通过Marathon应用定义或Universe包两种方式安装
• 支持外部访问配置（需marathon-lb）

使用场景

• DC/OS集群内的容器镜像安全扫描
• CI/CD流程中集成镜像漏洞检测
• 企业内部容器镜像仓库的定期安全审计

配置说明

前提条件

Clair需要运行中的Postgres实例来持久化漏洞数据，请先启动Postgres并记录数据库名称、模式及凭据。若需将Clair服务暴露到DC/OS集群外部，需确保已运行marathon-lb实例。

通过Marathon应用定义部署

请将所有<...>中的值替换为实际值。若无需外部暴露服务，可省略HAPROXY_*标签。

javascript
{
  "id": "clair",
  "cpus": 0.5,
  "mem": 1024.0,
  "instances": 1,
  "container": {
    "type": "DOCKER",
    "docker": {
      "image": "tobilg/clair-dcos:v2.0.5",
      "network": "HOST"
    }
  },
  "env": {
    "POSTGRES_USER": "<username>",
    "POSTGRES_PASSWORD": "<password>",
    "POSTGRES_DATABASE": "<database>",
    "POSTGRES_HOST": "<databaseHost>",
    "POSTGRES_PORT": "<databasePort>",
    "POSTGRES_TIMEOUT_SECONDS": "30"
  },
  "labels": {
    "HAPROXY_GROUP": "external",
    "HAPROXY_0_VHOST": "<publicSlaveELBHostname>",
    "HAPROXY_0_PORT": "6060"
  },
  "portDefinitions": [
    {
      "port": 0,
      "protocol": "tcp",
      "name": "http",
      "labels": {
        "VIP_0": "clair:6060"
      }
    },
    {
      "port": 0,
      "protocol": "tcp",
      "name": "health-check"
    }
  ],
  "requirePorts": false,
  "healthChecks": [
    {
      "protocol": "HTTP",
      "portIndex": 1,
      "path": "/health",
      "gracePeriodSeconds": 5,
      "intervalSeconds": 20,
      "maxConsecutiveFailures": 3
    }
  ]
}

服务内部可通过VIP clair.marathon.l4lb.thisdcos.directory:6060访问，外部可通过<externalPublicSlaveHostname>:6060访问。

通过Universe包部署

准备包含安装选项的clair.json文件，替换所有<...>中的值：

javascript
{
  "service": {
    "name": "clair",
    "cpus": 1,
    "mem": 2048
  },
  "basic": {
    "update_interval": 1,
    "api_timeout": 900,
    "cache_size": 16384
  },
  "networking": {
    "enable_external": true,
    "virtual_host": "<publicSlaveELBHostname>",
    "port": 6060
  },
  "postgres": {
    "user": "<username>",
    "password": "<password>",
    "database": "<database>",
    "host": "<databaseHost>",
    "port": <databasePort>,
    "timeout_seconds": 30
  },
  "notifier": {
    "attempts": 3,
    "renotify_interval": 3
  }
}

使用dcos CLI安装：

bash
$ dcos package install clair --options=clair.json