Klar

Integrazione di Clair e Docker Registry (supporta sia Clair API v1 che v3)

Klar è un semplice strumento per analizzare le immagini archiviate in un registro Docker privato o pubblico per vulnerabilità di sicurezza utilizzando Clair https://github.com/coreos/clair. Klar è progettato per essere utilizzato come strumento di integrazione, quindi si basa su variabili d'ambiente. È un singolo binario che non richiede dipendenze.

Klar funge da client che coordina i controlli delle immagini tra il registro Docker e Clair.

Installazione del binario

Il modo più semplice è scaricare l'ultima release (per OSX e Linux) da https://github.com/optiopay/klar/releases/ e posizionare il binario in una cartella nel tuo PATH (assicurati che abbia il permesso di esecuzione).

Installazione dal codice sorgente

Assicurati di avere il compilatore Go installato e configurato https://golang.org/doc/install

Quindi esegui

go get github.com/optiopay/klar

assicurati che la cartella dei binari Go sia nel tuo PATH (es. export PATH=$PATH:/usr/local/go/bin)

Utilizzo

Il processo Klar restituisce 0 se il numero di vulnerabilità ad alta gravità rilevate in un'immagine è minore o uguale a una soglia (vedi sotto) e 1 se sono di più. Restituirà 2 se un errore ha impedito l'analisi dell'immagine.

Klar può essere configurato tramite le seguenti variabili d'ambiente:

• CLAIR_ADDR - indirizzo del server Clair. Ha la forma protocol://host:port - protocol e port predefiniti sono rispettivamente http e 6060 e possono essere omessi. Puoi anche specificare l'autenticazione di base nell'URL: protocol://login:password@host:port.

• CLAIR_OUTPUT - soglia del livello di gravità; le vulnerabilità con livello di gravità maggiore o uguale a questa soglia verranno mostrate. I livelli supportati sono Unknown, Negligible, Low, Medium, High, Critical, . Il valore predefinito è .

Utilizzo:

CLAIR_ADDR=localhost CLAIR_OUTPUT=High CLAIR_THRESHOLD=10 DOCKER_USER=docker DOCKER_PASSWORD=secret klar postgres:9.5.1

Output di debug

Puoi abilitare un output più verboso impostando KLAR_TRACE su true.

• esegui export KLAR_TRACE=true per renderlo persistente tra le esecuzioni.

Versione dockerizzata

Klar può essere dockerizzato. Vai a $GOPATH/src/github.com/optiopay/klar e compila Klar nella root del progetto. Se sei su Linux:

CGO_ENABLED=0 go build -a -installsuffix cgo .

Se sei su Mac non dimenticare di compilare per Linux:

GOOS=linux go build .

Per creare l'immagine Docker esegui nella root del progetto (sostituisci klar con il nome completo se preferisci):

docker build -t klar .

Quindi passa le variabili d'ambiente come argomenti --env separati, oppure crea un file env e passalo come argomento --env-file. Ad esempio, salva le variabili d'ambiente come my-klar.env:

CLAIR_ADDR=localhost
CLAIR_OUTPUT=High
CLAIR_THRESHOLD=10
DOCKER_USER=docker
DOCKER_PASSWORD=secret

Quindi esegui

docker run --env-file=my-klar.env klar postgres:9.5.1

Supporto Amazon ECR

Non esiste un nome utente/password permanente per Amazon ECR; le credenziali devono essere recuperate usando aws ecr get-login e sono valide per 12 ore. Ecco uno script di esempio che può essere utilizzato per fornire a Klar le credenziali ECR:

DOCKER_LOGIN=`aws ecr get-login --no-include-email`
PASSWORD=`echo $DOCKER_LOGIN | cut -d' ' -f6`
REGISTRY=`echo $DOCKER_LOGIN | cut -d' ' -f7 | sed "s/https:\/\///"`
DOCKER_USER=AWS DOCKER_PASSWORD=${PASSWORD} ./klar ${REGISTRY}/my-image

Supporto Google GCR

Per l'autenticazione su GCR (Google Cloud Registry), il modo più semplice è utilizzare le credenziali predefinite dell'applicazione. Queste funzionano solo quando si esegue Klar da GCP. L'unico requisito è Google Cloud SDK.

DOCKER_USER=oauth2accesstoken
DOCKER_PASSWORD="$(gcloud auth application-default print-access-token)"

Con Docker:

DOCKER_USER=oauth2accesstoken
DOCKER_PASSWORD="$(docker run --rm google/cloud-sdk:alpine gcloud auth application-default print-access-token)"