Componente CI GitLab per Trivy

Un componente CI GitLab per Trivy — lo scanner di sicurezza all-in-one che copre immagini container, filesystem, repository, cluster Kubernetes, SBOM e conformità delle licenze. Collega questi template direttamente alle tue pipeline per ottenere scansioni ripetibili, report nativi GitLab e artefatti portatili con quasi nessuno scripting di shell.

Caratteristiche

Copertura Completa della Superficie: Container, filesystem, filesystem root, repository Git, VM, SBOM, cluster Kubernetes e altro.
Scanner Multipli: Scansione di vulnerabilità, misconfigurazione/IaC, segreti e licenze con controlli per job.
Report GitLab: Emette artefatti di Container Scanning, JUnit, SARIF e JSON pronti per gli insight delle merge request.
Input Personalizzabili: Ogni template espone opzioni per severità, scanner, timeout, tipi di pacchetto e artefatti.
Template Componibili: Combina scansioni remote o locali, flussi di lavoro SBOM, attestazioni Rekor e controlli IaC da un unico namespace di componenti.

Utilizzo

Utilizzo Base

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/main@latest

stages:
  - test

Immagine Remota con Severità Personalizzata

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/main@latest
    inputs:
      job_name: "security:remote"
      TRIVY_SCAN_REMOTE_IMAGE: "registry.gitlab.com/group/app:latest"
      severity: "CRITICAL,HIGH,MEDIUM"
      exit_on_vulnerability: true

stages:
  - test

Scansione di Layout Tar / OCI Locale

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/main@latest
    inputs:
      job_name: "security:local"
      TRIVY_SCAN_LOCAL_IMAGES: "dist/"
      TRIVY_SCANNERS: "vuln,secret"
      exit_on_vulnerability: false

stages:
  - test

Input dei Componenti e Template

Ogni template di seguito elenca i suoi input disponibili e valori predefiniti come definiti nella specifica del componente, seguiti da un esempio funzionante minimale.

Componente: `templates/main.yml`

Esempio

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/main@latest
    inputs:
      job_name: "trivy:basic"
      TRIVY_SCAN_REMOTE_IMAGE: "nginx:latest"

Componente: `templates/target_container.yml`

Esempio

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/target_container@latest
    inputs:
      job_name: "trivy:containers"
      TRIVY_SCAN_REMOTE_IMAGE: "registry.gitlab.com/group/service:latest"
      TRIVY_SCANNERS: "vuln,secret"
      exit_on_vulnerability: true

Componente: `templates/target_filesystem.yml`

Esempio

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/target_filesystem@latest
    inputs:
      TRIVY_FS_PATH: "services/api"
      TRIVY_SCANNERS: "vuln,misconfig,secret"

Componente: `templates/target_rootfs.yml`

Esempio

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/target_rootfs@latest
    inputs:
      TRIVY_ROOTFS_PATH: "/mnt/root"
      TRIVY_SCANNERS: "vuln"

Componente: `templates/target_repository.yml`

Esempio

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/target_repository@latest
    inputs:
      TRIVY_REPO_TARGET: "https://github.com/aquasecurity/trivy"
      TRIVY_REPO_BRANCH: "main"

Componente: `templates/target_vm.yml`

Esempio

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/target_vm@latest
    inputs:
      TRIVY_VM_TARGET: "ami-0123456789abcdef0"
      TRIVY_AWS_REGION: "us-east-1"

Componente: `templates/target_kubernetes.yml`

Esempio

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/target_kubernetes@latest
    inputs:
      TRIVY_K8S_OBJECT: "namespace/prod"
      TRIVY_K8S_REPORT: "summary"

Componente: `templates/scanner_iac_config.yml`

Esempio

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/scanner_iac_config@latest
    inputs:
      TRIVY_CONFIG_PATH: "examples/iac/terraform"
      severity: "CRITICAL,HIGH,MEDIUM"

Componente: `templates/scanner_license.yml`

Esempio

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/scanner_license@latest
    inputs:
      TRIVY_SCAN_LOCAL_IMAGES: "test.tar"
      TRIVY_LICENSE_FULL: true

Componente: `templates/sbom_generate_image.yml`

Esempio

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/sbom_generate_image@latest
    inputs:
      TRIVY_SBOM_INPUT: "test.tar"
      TRIVY_SBOM_FILENAME: "ci-image-sbom.cdx.json"

Componente: `templates/sbom_generate_repo.yml`

Esempio

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/sbom_generate_repo@latest
    inputs:
      TRIVY_REPO_TARGET: "."
      TRIVY_SBOM_FORMAT: "spdx-json"

Componente: `templates/sbom_generate_kbom.yml`

Esempio

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/sbom_generate_kbom@latest
    inputs:
      TRIVY_K8S_TARGET: "namespace/default"
      scan_kbom: true

Componente: `templates/sbom_scan_file.yml`

Esempio

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/sbom_scan_file@latest
    inputs:
      TRIVY_SBOM_PATH: "artifacts/trivy/ci-image-sbom.cdx.json"
      TRIVY_SCANNERS: "vuln,license"

Componente: `templates/sbom_scan_rekor.yml`

Esempio

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/sbom_scan_rekor@latest
    inputs:
      TRIVY_SCAN_REMOTE_IMAGE: "registry.gitlab.com/group/app@sha256:..."
      TRIVY_REKOR_URL: "https://rekor.sigstore.dev"

`job_name`	Nome del job CI	`"trivy scanning"`
`stage`	Stadio della pipeline	`"test"`
`image`	Immagine container che esegue Trivy	`"ghcr.io/aquasecurity/trivy:0.68.1"`
`TRIVY_NEEDED_STAGE`	Stadio che deve terminare prima che Trivy venga eseguito	`"build"`
`TRIVY_SCAN_REMOTE_IMAGE`	Immagine remota da scansionare	`""`
`TRIVY_SCAN_LOCAL_IMAGES`	Percorso agli input tar/OCI (cerca `.` se vuoto)	`""`
`TRIVY_SCANNERS`	Scanner separati da virgola	`"vuln,secret,misconfig"`
`severity`	Severità da includere	`"CRITICAL,HIGH"`
`exit_on_vulnerability`	Fallisce il job quando vengono trovati problemi	`true`
`TRIVY_EXTRA_ARGS`	Flag CLI aggiuntivi	`""`
`allow_failure`	Consenti fallimento job senza far fallire la pipeline	`false`

`job_name`	Nome del job CI	`"trivy:scan:containers"`
`stage`	Stadio della pipeline	`"test"`
`image`	Immagine container Trivy	`"ghcr.io/aquasecurity/trivy:0.68.1"`
`TRIVY_SCAN_REMOTE_IMAGE`	Riferimento immagine remota	`""`
`TRIVY_SCAN_LOCAL_IMAGES`	Directory/tar per scansioni locali	`""`
`TRIVY_SCANNERS`	Scanner abilitati	`"vuln,secret,misconfig"`
`TRIVY_IMAGE_SRC`	Backend sorgente immagine (`remote/docker/...`)	`""`
`severity`	Severità	`"CRITICAL,HIGH"`
`exit_on_vulnerability`	Fallisce in caso di corrispondenza di severità	`true`
`TRIVY_IGNORE_UNFIXED`	Ignora problemi senza fix	`true`
`TRIVY_PKG_TYPES`	Tipi di pacchetto	`"os,library"`
`TRIVY_VULN_TYPE`	Alias deprecato per tipi di pacchetto	`""`
`TRIVY_TIMEOUT`	Timeout del comando	`"10m"`
`TRIVY_EXTRA_ARGS`	Argomenti CLI extra	`""`
`TRIVY_DB_REPOSITORY`	Mirror DB personalizzato	`""`
`TRIVY_JAVA_DB_REPOSITORY`	Mirror DB Java personalizzato	`""`
`TRIVY_SKIP_FILES`	Esclusioni di file glob	`""`
`TRIVY_SKIP_DIRS`	Esclusioni di directory	`""`
`allow_failure`	Consenti fallimento senza far fallire la pipeline	`false`

`job_name`	Nome del job CI	`"trivy:scan:filesystem"`
`stage`	Stadio della pipeline	`"test"`
`image`	Immagine Trivy	`"ghcr.io/aquasecurity/trivy:0.68.1"`
`TRIVY_FS_PATH`	File o directory da scansionare	`"."`
`TRIVY_SCANNERS`	Scanner abilitati	`"vuln,secret"`
`severity`	Severità	`"CRITICAL,HIGH"`
`exit_on_vulnerability`	Fallisce in caso di corrispondenza di severità	`true`
`TRIVY_IGNORE_UNFIXED`	Ignora problemi senza fix	`true`
`TRIVY_PKG_TYPES`	Tipi di pacchetto	`"os,library"`
`TRIVY_TIMEOUT`	Timeout	`"10m"`
`TRIVY_SKIP_FILES`	File glob da saltare	`""`
`TRIVY_SKIP_DIRS`	Directory da saltare	`""`
`TRIVY_EXTRA_ARGS`	Argomenti CLI extra	`""`
`TRIVY_REPORT_BASENAME`	Nome base artefatto	`"filesystem-scan"`
`allow_failure`	Consenti fallimento job	`false`

`job_name`	Nome job	`"trivy:scan:rootfs"`
`stage`	Stadio	`"test"`
`image`	Immagine Trivy	`"ghcr.io/aquasecurity/trivy:0.68.1"`
`TRIVY_ROOTFS_PATH`	Percorso filesystem root	`"/"`
`TRIVY_SCANNERS`	Scanner	`"vuln,secret"`
`severity`	Severità	`"CRITICAL,HIGH"`
`exit_on_vulnerability`	Fallisce job su risultati	`true`
`TRIVY_IGNORE_UNFIXED`	Ignora senza fix	`true`
`TRIVY_PKG_TYPES`	Tipi di pacchetto	`"os,library"`
`TRIVY_TIMEOUT`	Timeout	`"10m"`
`TRIVY_SKIP_FILES`	File da saltare	`""`
`TRIVY_SKIP_DIRS`	Directory da saltare	`""`
`TRIVY_EXTRA_ARGS`	Argomenti extra	`""`
`TRIVY_REPORT_BASENAME`	Nome base artefatto	`"rootfs-scan"`
`allow_failure`	Consenti fallimento	`false`

`job_name`	Nome job	`"trivy:scan:repo"`
`stage`	Stadio	`"test"`
`image`	Immagine Trivy	`"ghcr.io/aquasecurity/trivy:0.68.1"`
`TRIVY_REPO_TARGET`	Percorso locale o URL Git	`"."`
`TRIVY_REPO_BRANCH`	Branch remoto	`""`
`TRIVY_REPO_COMMIT`	Hash commit	`""`
`TRIVY_REPO_TAG`	Nome tag	`""`
`TRIVY_SCANNERS`	Scanner	`"vuln,secret"`
`severity`	Severità	`"CRITICAL,HIGH"`
`exit_on_vulnerability`	Fallisce job su risultati	`true`
`TRIVY_IGNORE_UNFIXED`	Ignora senza fix	`true`
`TRIVY_TIMEOUT`	Timeout	`"10m"`
`TRIVY_SKIP_FILES`	File da saltare	`""`
`TRIVY_SKIP_DIRS`	Directory da saltare	`""`
`TRIVY_EXTRA_ARGS`	Argomenti extra	`""`
`TRIVY_REPORT_BASENAME`	Nome base artefatto	`"repo-scan"`
`allow_failure`	Consenti fallimento	`false`

`job_name`	Nome job	`"trivy:scan:vm"`
`stage`	Stadio	`"test"`
`image`	Immagine Trivy	`"ghcr.io/aquasecurity/trivy:0.68.1"`
`TRIVY_VM_TARGET`	Percorso locale o identificatore `ami:/ebs:`	`""`
`TRIVY_AWS_REGION`	Regione AWS per scansioni AMI/EBS	`""`
`TRIVY_SCANNERS`	Scanner	`"vuln"`
`severity`	Severità	`"CRITICAL,HIGH"`
`exit_on_vulnerability`	Fallisce job su risultati	`true`
`TRIVY_IGNORE_UNFIXED`	Ignora senza fix	`true`
`TRIVY_TIMEOUT`	Timeout	`"20m"`
`TRIVY_EXTRA_ARGS`	Argomenti extra	`""`
`TRIVY_REPORT_BASENAME`	Nome base artefatto	`"vm-scan"`
`allow_failure`	Consenti fallimento	`false`

`job_name`	Nome job	`"trivy:scan:k8s"`
`stage`	Stadio	`"test"`
`image`	Immagine Trivy	`"ghcr.io/aquasecurity/trivy:0.68.1"`
`TRIVY_K8S_OBJECT`	Ambito (`cluster`, `namespace/foo`, ecc.)	`""`
`TRIVY_K8S_REPORT`	Dettaglio report (`summary`/`all`)	`"summary"`
`TRIVY_K8S_KUBECONFIG`	Percorso kubeconfig personalizzato	`""`
`TRIVY_K8S_INCLUDE_NAMESPACES`	Namespace da includere	`""`
`TRIVY_K8S_EXCLUDE_NAMESPACES`	Namespace da escludere	`""`
`TRIVY_K8S_INCLUDE_KINDS`	Kind da includere	`""`
`TRIVY_K8S_EXCLUDE_KINDS`	Kind da escludere	`""`
`TRIVY_K8S_SKIP_IMAGES`	Salta scansione immagini dei workload	`false`
`TRIVY_K8S_DISABLE_NODE_COLLECTOR`	Disabilita collector dei nodi	`false`
`TRIVY_SCANNERS`	Scanner	`"vuln,misconfig,secret"`
`severity`	Severità	`"CRITICAL,HIGH"`
`exit_on_vulnerability`	Fallisce job su risultati	`true`
`TRIVY_IGNORE_UNFIXED`	Ignora senza fix	`true`
`TRIVY_TIMEOUT`	Timeout	`"15m"`
`TRIVY_K8S_EXTRA_ARGS`	Argomenti extra	`""`
`TRIVY_REPORT_BASENAME`	Nome base artefatto	`"k8s-scan"`
`allow_failure`	Consenti fallimento	`false`

`job_name`	Nome job	`"trivy:scan:iac"`
`stage`	Stadio	`"test"`
`image`	Immagine Trivy	`"ghcr.io/aquasecurity/trivy:0.68.1"`
`TRIVY_CONFIG_PATH`	Directory IaC	`"."`
`severity`	Severità	`"CRITICAL,HIGH"`
`exit_on_vulnerability`	Fallisce su risultati	`true`
`TRIVY_CONFIG_REPORT`	Dettaglio report	`"all"`
`TRIVY_CONFIG_INCLUDE_NON_FAILURES`	Includi superati	`false`
`TRIVY_MISCONFIG_SCANNERS`	Lista scanner misconfig	`"azure-arm,cloudformation,dockerfile,helm,kubernetes,terraform"`
`TRIVY_TIMEOUT`	Timeout	`"10m"`
`TRIVY_SKIP_FILES`	File da saltare	`""`
`TRIVY_SKIP_DIRS`	Directory da saltare	`""`
`TRIVY_CONFIG_EXTRA_ARGS`	Argomenti extra	`""`
`TRIVY_REPORT_BASENAME`	Nome base artefatto	`"iac-scan"`
`allow_failure`	Consenti fallimento	`false`

`job_name`	Nome job	`"trivy:scan:license"`
`stage`	Stadio	`"test"`
`image`	Immagine Trivy	`"ghcr.io/aquasecurity/trivy:0.68.1"`
`TRIVY_SCAN_REMOTE_IMAGE`	Riferimento immagine remota	`""`
`TRIVY_SCAN_LOCAL_IMAGES`	Percorso tar/OCI locale o filesystem	`""`
`TRIVY_SCANNERS`	Elenco scanner	`"license"`
`severity`	Severità	`"CRITICAL"`
`exit_on_vulnerability`	Fallisce in caso di corrispondenza di severità	`true`
`TRIVY_LICENSE_FULL`	Abilita `--license-full`	`false`
`TRIVY_LICENSE_CONFIDENCE`	Soglia di confidenza	`"0.9"`
`TRIVY_LICENSE_IGNORED`	Licenze da ignorare	`""`
`TRIVY_PKG_TYPES`	Tipi di pacchetto	`"os,library"`
`TRIVY_TIMEOUT`	Timeout	`"10m"`
`TRIVY_EXTRA_ARGS`	Argomenti extra	`""`
`allow_failure`	Consenti fallimento	`false`

`job_name`	Nome job	`"trivy:sbom:image"`
`stage`	Stadio	`"test"`
`image`	Immagine Trivy	`"ghcr.io/aquasecurity/trivy:0.68.1"`
`TRIVY_SBOM_IMAGE`	Riferimento immagine remota	`""`
`TRIVY_SBOM_INPUT`	Input OCI/tar locale	`""`
`TRIVY_SBOM_FORMAT`	Formato SBOM	`"cyclonedx"`
`TRIVY_SBOM_FILENAME`	Nome file output	`"image-sbom.cdx.json"`
`TRIVY_SBOM_EXTRA_ARGS`	Argomenti extra	`""`
`TRIVY_TIMEOUT`	Timeout	`"10m"`
`allow_failure`	Consenti fallimento	`false`

`job_name`	Nome job	`"trivy:sbom:repo"`
`stage`	Stadio	`"test"`
`image`	Immagine Trivy	`"ghcr.io/aquasecurity/trivy:0.68.1"`
`TRIVY_REPO_TARGET`	Percorso o URL Git remoto	`"."`
`TRIVY_REPO_BRANCH`	Branch	`""`
`TRIVY_REPO_COMMIT`	Hash commit	`""`
`TRIVY_REPO_TAG`	Tag	`""`
`TRIVY_SBOM_FORMAT`	Formato	`"cyclonedx"`
`TRIVY_SBOM_FILENAME`	Nome file output	`"repo-sbom.cdx.json"`
`TRIVY_REPO_SCANNERS`	Scanner durante creazione SBOM	`"vuln,secret"`
`TRIVY_REPO_EXTRA_ARGS`	Argomenti extra	`""`
`TRIVY_TIMEOUT`	Timeout	`"10m"`
`allow_failure`	Consenti fallimento	`false`

`job_name`	Nome job	`"trivy:sbom:kbom"`
`stage`	Stadio	`"test"`
`image`	Immagine Trivy	`"ghcr.io/aquasecurity/trivy:0.68.1"`
`TRIVY_K8S_TARGET`	Target `trivy k8s` (`cluster`, `namespace/...`)	`"cluster"`
`TRIVY_K8S_CONTEXT`	Contesto kubeconfig	`""`
`TRIVY_K8S_EXTRA_ARGS`	Argomenti extra	`""`
`TRIVY_SBOM_FILENAME`	Nome file KBOM	`"kbom.cdx.json"`
`TRIVY_TIMEOUT`	Timeout	`"15m"`
`scan_kbom`	Esegui scansione vulnerabilità sul KBOM generato	`true`
`TRIVY_SBOM_SCANNERS`	Scanner per scansione KBOM	`"vuln"`
`severity`	Severità per scansione KBOM	`"CRITICAL,HIGH"`
`exit_on_vulnerability`	Fallisce su risultati	`true`
`TRIVY_SBOM_SCAN_EXTRA_ARGS`	Argomenti extra per scansione KBOM	`""`
`allow_failure`	Consenti fallimento	`false`

`job_name`	Nome job	`"trivy:scan:sbom"`
`stage`	Stadio	`"test"`
`image`	Immagine Trivy	`"ghcr.io/aquasecurity/trivy:0.68.1"`
`TRIVY_SBOM_PATH`	Percorso file SBOM	`"artifacts/trivy/image-sbom.cdx.json"`
`TRIVY_SBOM_REPORT_BASENAME`	Nome base output	`"sbom-scan"`
`TRIVY_SCANNERS`	Scanner da eseguire	`"vuln,license"`
`severity`	Severità	`"CRITICAL,HIGH"`
`exit_on_vulnerability`	Fallisce su risultati	`true`
`TRIVY_SBOM_SCAN_EXTRA_ARGS`	Argomenti extra	`""`
`TRIVY_TIMEOUT`	Timeout	`"10m"`
`allow_failure`	Consenti fallimento	`false`

`job_name`	Nome job	`"trivy:scan:rekor"`
`stage`	Stadio	`"test"`
`image`	Immagine Trivy	`"ghcr.io/aquasecurity/trivy:0.68.1"`
`TRIVY_SCAN_REMOTE_IMAGE`	Immagine remota attestata	`""`
`TRIVY_REKOR_URL`	Endpoint API Rekor	`""`
`TRIVY_SCANNERS`	Scanner	`"vuln"`
`severity`	Severità	`"CRITICAL,HIGH"`
`exit_on_vulnerability`	Fallisce su risultati	`true`
`TRIVY_IGNORE_UNFIXED`	Ignora senza fix	`true`
`TRIVY_TIMEOUT`	Timeout	`"10m"`
`TRIVY_EXTRA_ARGS`	Argomenti extra	`""`
`allow_failure`	Consenti fallimento	`false`

trivy

Più Popolari

Componente CI GitLab per Trivy

Caratteristiche

Utilizzo

Utilizzo Base

Immagine Remota con Severità Personalizzata

Scansione di Layout Tar / OCI Locale

Input dei Componenti e Template

Componente: templates/main.yml

Componente: templates/target_container.yml

Componente: templates/target_filesystem.yml

Componente: templates/target_rootfs.yml

Componente: templates/target_repository.yml

Componente: templates/target_vm.yml

Componente: templates/target_kubernetes.yml

Componente: templates/scanner_iac_config.yml

Componente: templates/scanner_license.yml

Componente: templates/sbom_generate_image.yml

Componente: templates/sbom_generate_repo.yml

Componente: templates/sbom_generate_kbom.yml

Componente: templates/sbom_scan_file.yml

Componente: templates/sbom_scan_rekor.yml

Componente: `templates/main.yml`

Componente: `templates/target_container.yml`

Componente: `templates/target_filesystem.yml`

Componente: `templates/target_rootfs.yml`

Componente: `templates/target_repository.yml`

Componente: `templates/target_vm.yml`

Componente: `templates/target_kubernetes.yml`

Componente: `templates/scanner_iac_config.yml`

Componente: `templates/scanner_license.yml`

Componente: `templates/sbom_generate_image.yml`

Componente: `templates/sbom_generate_repo.yml`

Componente: `templates/sbom_generate_kbom.yml`

Componente: `templates/sbom_scan_file.yml`

Componente: `templates/sbom_scan_rekor.yml`