はじめに

Trivy Operator は Trivy を活用して、Kubernetes クラスターのセキュリティ問題を継続的にスキャンします。スキャン結果は、Kubernetes のカスタムリソース定義としてセキュリティレポートに集約され、Kubernetes API を通じてアクセスできるようになります。Operator は Kubernetes の状態変更を監視し、その変化に応じてセキュリティスキャンを自動的にトリガーすることでこれを実現します。たとえば、新しい Pod が作成されると脆弱性スキャンが開始されます。これにより、ユーザーはさまざまなリソースに関連するリスクを Kubernetes-native な方法で発見し、確認できます。

クラスター内セキュリティスキャン

Trivy Operator はセキュリティレポートを自動的に生成・更新します。これらのレポートは、Kubernetes クラスター上の新しいワークロードやその他の変更に応じて生成され、以下のレポートが含まれます。

脆弱性スキャン: Kubernetes のワークロード、コントロールプレーン、ノードコンポーネント (api-server、controller-manager、kubelet など) の自動脆弱性スキャン
ConfigAudit スキャン: 事前定義されたルールまたはカスタムの Open Policy Agent (OPA) ポリシーを使用した、Kubernetes リソースの自動構成監査
露出したシークレットのスキャン: クラスター内で露出したシークレットの場所を発見して詳しく示す自動シークレットスキャン
RBAC スキャン: ロールベースのアクセス制御 (RBAC) スキャンは、インストールされているさまざまなリソースのアクセス権に関する詳細情報を提供します
K8s コアコンポーネントのインフラ評価: Kubernetes インフラのコアコンポーネント (etcd、apiserver、scheduler、controller-manager など) の設定と構成をスキャンします
k8s 非推奨 API の検証: configaudit チェックにより、リソース API が非推奨となり削除が予定されているかどうかを検証します
コンプライアンスレポート
- NSA、CISA の Kubernetes Hardening Guidance v1.1 に基づくサイバーセキュリティ技術レポートが生成されます
- CIS Kubernetes Benchmark v1.23 に基づくサイバーセキュリティ技術レポートが生成されます
- Kubernetes pss-baseline (Pod セキュリティ標準)
- Kubernetes pss-restricted (Pod セキュリティ標準)
Kubernetes ワークロード向けの SBOM (ソフトウェア部品表) の生成

Trivy-operator 概要

trivy-operator の開発と改善を継続してほしい場合は、リポジトリにスター ⭐ を付けてください！ 😀

使用方法

公式のドキュメントには、インストール、構成、トラブルシューティング、クイックスタートに関する詳細なガイドが用意されています。

静的 YAML マニフェストを使用して Trivy-operator をインストールし、はじめにガイドに従うと、脆弱性スキャンと構成監査レポートが自動的に生成される仕組みを確認できます。

クイックスタート

Trivy Operator は Helm Chart を使用して簡単にインストールできます。Helm Chart は次の 2 つのオプションのいずれかで入手できます。

オプション 1: 従来の Helm Chart リポジトリからインストール

Aqua Chart リポジトリを追加します:

   helm repo add aqua https://aquasecurity.github.io/helm-charts/
   helm repo update

Helm Chart をインストールします:

   helm install trivy-operator aqua/trivy-operator \
     --namespace trivy-system \
     --create-namespace \
     --version 0.35.0

オプション 2: OCI レジストリからインストール (Helm v3.8.0+ でサポート)

Helm Chart をインストールします:

   helm install trivy-operator oci://ghcr.io/aquasecurity/helm-charts/trivy-operator \
     --namespace trivy-system \
     --create-namespace \
     --version 0.35.0

これにより、Trivy Helm Chart が trivy-system 名前空間にインストールされ、スキャンが開始されます。

ステータス

新リリースは以前のバージョンとの後方互換性を維持するよう努めていますが、このプロジェクトはまだ開発初期段階にあり、一部の API やカスタムリソース定義は変更される可能性があります。

コントリビューション

この初期段階では、Trivy-Operator の全体的なコンセプトに関するフィードバックをぜひお寄せください。今後は、ユーザーが標準的で Kubernetes ネイティブな方法でセキュリティ情報にアクセスできるよう、さまざまなセキュリティツールを統合するコントリビューションを歓迎します。

開発環境のセットアップ方法と、期待されるコントリビューションのワークフローについては、コントリビューションを参照してください。
Aqua プロジェクトおよびそのコミュニティと交流する際は、行動規範に従ってください。

Trivy-Operator は Aqua Security のオープンソースプロジェクトです。
オープンソースへの取り組みとポートフォリオをご覧ください。
GitHub Discussions または Slack でコミュニティに参加して、どんなことでもお気軽にご相談ください。

trivy-operator v0.33.0

カテゴリ