はじめに

Trivy OperatorはTrivyを活用して、Kubernetesクラスターのセキュリティ問題を継続的にスキャンします。スキャン結果は、Kubernetes APIを通じてアクセス可能なCustom Resource Definitionsとしてセキュリティレポートにまとめられます。このOperatorはKubernetesの状態変化を監視し、それに応じてセキュリティスキャンを自動的にトリガーすることで動作します。例えば、新しいPodが作成されると脆弱性スキャンが開始されます。これにより、ユーザーはさまざまなリソースに関連するリスクをKubernetesネイティブな方法で発見・閲覧できます。

クラスター内セキュリティスキャン

Trivy Operatorはセキュリティレポートを自動的に生成・更新します。これらのレポートは、Kubernetesクラスター上の新しいワークロードやその他の変更に応じて生成され、以下のレポートを作成します:

脆弱性スキャン: Kubernetesワークロード、コントロールプレーン、ノードコンポーネント（api-server、controller-manager、kubelet、etcd）の自動脆弱性スキャン
ConfigAuditスキャン: 事前定義されたルールまたはカスタムのOpen Policy Agent（OPA）ポリシーを使用したKubernetesリソースの自動設定監査
露出シークレットスキャン: クラスター内で露出したシークレットの場所を検出・詳細化する自動シークレットスキャン
RBACスキャン: ロールベースのアクセス制御スキャンは、インストールされているさまざまなリソースのアクセス権限に関する詳細情報を提供します
K8sコアコンポーネントインフラ評価スキャン: Kubernetesインフラのコアコンポーネント（etcd、apiserver、scheduler、controller-managerなど）の設定と構成をスキャンします
k8s廃止予定API検証 - configauditチェックにより、リソースAPIが非推奨となり削除予定かどうかを検証します
コンプライアンスレポート
- NSA、CISA Kubernetesハードニングガイダンスv1.1のサイバーセキュリティ技術レポートを生成します
- CIS Kubernetesベンチマークv1.23のサイバーセキュリティ技術レポートを生成します
- Kubernetes pss-baseline、Podセキュリティ標準
- Kubernetes pss-restricted、Podセキュリティ標準
Kubernetesワークロード向けのSBOM（ソフトウェア部品表）生成

Trivy-operator Overview

trivy-operatorの開発・改善を継続してほしい場合は、リポジトリにスター ⭐を付けてください！😀

使用方法

公式[ドキュメント]には、詳細なインストール、設定、トラブルシューティング、およびクイックスタートガイドが記載されています。

[静的YAMLマニフェスト]を使用してTrivy-Operatorをインストールし、はじめにガイドに従って、脆弱性および構成監査レポートが自動的に生成される仕組みを確認できます。

クイックスタート

Trivy OperatorはHelm Chartを通じて簡単にインストールできます。 Helm Chartは以下の2つの方法のいずれかでダウンロードできます:

オプション1: 従来のHelmチャートリポジトリからインストール

Aquaチャートリポジトリを追加します:

   helm repo add aqua https://aquasecurity.github.io/helm-charts/
   helm repo update

Helm Chartをインストールします:

   helm install trivy-operator aqua/trivy-operator \
     --namespace trivy-system \
     --create-namespace \
     --version 0.36.0

オプション2: OCIレジストリからインストール（Helm v3.8.0+でサポート）

Helm Chartをインストールします:

   helm install trivy-operator oci://ghcr.io/aquasecurity/helm-charts/trivy-operator \
     --namespace trivy-system \
     --create-namespace \
     --version 0.36.0

これにより、Trivy Helm Chartがtrivy-system名前空間にインストールされ、スキャンのトリガーが開始されます。

ステータス

新しいリリースを以前のバージョンと後方互換性を保つように努めていますが、このプロジェクトはまだ開発初期段階にあり、一部のAPIおよびCustom Resource Definitionsは変更される可能性があります。

コントリビューション

この初期段階では、Trivy-Operatorの全体的なコンセプトに関するフィードバックをお待ちしています。将来的には、さまざまなセキュリティツールを統合するコントリビューションを歓迎し、ユーザーが標準的なKubernetesネイティブな方法でセキュリティ情報にアクセスできるようにしたいと考えています。

開発環境のセットアップ方法と、私たちが期待するコントリビューションのワークフローについては、[コントリビューション]を参照してください。
Aquaプロジェクトおよびそのコミュニティとのやり取りの際は、行動規範に従ってください。

Trivy-OperatorはAqua Securityのオープンソースプロジェクトです。
[オープンソースの取り組みとポートフォリオ]についてご覧ください。
GitHub DiscussionsまたはSlackでコミュニティに参加し、あらゆる質問についてお気軽にご相談ください。

trivy-operator v0.34.0

カテゴリ