vanessa/stools-clair

Singularity容器工具

这是一组针对Singularity容器的工具，优化用于持续集成中的安全和质量检查。有关该包在持续集成场景中的使用示例，请参阅https://github.com/singularityhub/stools-clair%E4%BB%93%E5%BA%93%E3%80%82

![asciicast]([***]

本工具结合https://github.com/coreos/clair%E4%B8%8E%E6%8C%81%E7%BB%AD%E9%9B%86%E6%88%90%E6%9C%8D%E5%8A%A1%EF%BC%88Travis%E5%92%8CCircle%EF%BC%89%EF%BC%8C%E6%89%AB%E6%8F%8Fhttps://singularityware.github.io%E5%AE%B9%E5%99%A8%E7%9A%84%E5%AE%89%E5%85%A8%E6%BC%8F%E6%B4%9E%E3%80%82

标签

• https://github.com/singularityhub/stools/tree/v2.4.5%EF%BC%9A%E4%BD%BF%E7%94%A8Singularity v2.4.5
• https://github.com/singularityhub/stools%EF%BC%9A%E4%BD%BF%E7%94%A8Singularity v3.2.1

背景

Clair旨在作为服务器持续扫描Docker层的漏洞，但这在研究领域并不适用，原因如下：

• Docker容器由分层文件（.tar.gz）组成，而Singularity镜像是单个二进制文件，无法直接与Clair集成。
• 大多数研究人员无法支持持续运行此类服务。

另一方面，研究人员通常使用TravisCI和CircleCI等服务对代码库进行测试。这些服务支持运行容器和其他服务，因此我们可以：

• 在测试期间启动Clair服务器。
• 构建Singularity镜像，并扫描文件系统内容（在镜像最终化之前）。

虽然这不是持续运行的服务，但我们可以确保每次构建容器时都进行扫描（之后可能合并用于生产）。如果用户使用Singularity Hub或https://singularityhub.github.io/sregistry%EF%BC%8C%E9%95%9C%E5%83%8F%E5%B0%86%E5%9C%A8%E9%80%9A%E8%BF%87%E8%BF%99%E4%BA%9B%E6%B5%8B%E8%AF%95%E5%90%8E%E8%A2%AB%E6%8E%A8%E9%80%81%E6%88%96%E6%9E%84%E5%BB%BA%E7%94%A8%E4%BA%8E%E7%94%9F%E4%BA%A7%E3%80%82

本实验基于https://github.com/singularityhub/sregistry/issues/14%E4%B8%AD%E7%9A%84%E6%97%A9%E6%9C%9F%E8%AE%A8%E8%AE%BA%E3%80%82

基本使用

构建容器

如果需要，可构建容器（或直接从Docker Hub使用）：

bash
$ docker build -t vanessa/stools-clair .

启动服务

使用docker-compose启动应用。注意：需将待扫描的镜像放在当前目录（$PWD），该目录会映射到容器内的/code（见docker-compose.yml文件）。可根据需要调整路径，确保待扫描的容器在此处。未来将更新服务器以接受外部容器的POST请求。

bash
$ docker-compose up -d

扫描本地镜像

扫描映射到容器内/code的本地镜像（若未克隆仓库，请先获取https://github.com/singularityhub/stools/blob/master/docker-compose.yml%E6%96%87%E4%BB%B6%EF%BC%89%EF%BC%9A

bash
$ singularity pull shub://vsoch/singularity-images
$ docker exec -it clair-scanner sclair singularity-images_latest.sif