[!IMPORTANT] KubeClarityは非推奨となり、openclarity/openclarityに引き継がれました。

詳細はリリースのお知らせをご確認ください。

このプロジェクトは更新されません。移行を推奨します。

KubeClarityは、コンテナイメージとファイルシステムのソフトウェア部品表（SBOM）および脆弱性を検出・管理するためのツールです。ランタイムのK8sクラスターとCI/CDパイプラインの両方をスキャンし、ソフトウェアサプライチェーンセキュリティを強化します。

なぜ？

SBOMと脆弱性検出の課題

効果的な脆弱性スキャンには、正確なソフトウェア部品表（SBOM）の検出が必要です：
- さまざまなプログラミング言語とパッケージマネージャー
- さまざまなOSディストリビューション
- パッケージの依存関係情報は通常ビルド時に除去される
どのスキャナー/SBOMアナライザーが最適か？
何をスキャンすべきか：Gitリポジトリ、ビルド、コンテナイメージ、ランタイム？
スキャナー/アナライザーごとに独自のフォーマットがある - 結果をどう比較するか？
発見されたSBOMと脆弱性をどう管理するか？
新たに発見された脆弱性はアプリケーションにどのような影響を与えるか？

解決策

脆弱性スキャンを2つのフェーズに分離：
- SBOMを生成するためのコンテンツ分析
- SBOMをスキャンして脆弱性を検出
プラグイン可能なインフラストラクチャを作成：
- 複数のコンテンツアナライザーを並行実行
- 複数の脆弱性スキャナーを並行実行
KubeClarity CLIを使用して異なるCIステージ間で結果をスキャンおよびマージ
デプロイ後に発見された脆弱性を検出するためのランタイムK8sスキャン
スキャンしたリソース（イメージ/ディレクトリ）を定義済みアプリケーションにグループ化し、オブジェクトツリーの依存関係（アプリケーション、リソース、パッケージ、脆弱性）をナビゲート

機能

ダッシュボード
- 重要度別の修正可能な脆弱性
- 脆弱性トップ5の要素（アプリケーション、リソース、パッケージ）
- 新しい脆弱性のトレンド
- ライセンスタイプ別のパッケージ数
- プログラミング言語別のパッケージ数
- 一般カウンター
アプリケーション
- K8sランタイムでのアプリケーション自動検出
- アプリケーションの作成/編集/削除
- アプリケーションごとに関連項目へナビゲート：
  - リソース（イメージ/ディレクトリ）
  - パッケージ
  - 脆弱性
  - リソースで使用されているライセンス
アプリケーションリソース（イメージ/ディレクトリ）
- リソースごとに関連項目へナビゲート：
  - アプリケーション
  - パッケージ
  - 脆弱性
パッケージ
- パッケージごとに関連項目へナビゲート：
  - アプリケーション
  - リンク可能なリソース一覧と検出したSBOMアナライザー
  - 脆弱性
脆弱性
- 脆弱性ごとに関連項目へナビゲート：
  - アプリケーション
  - リソース
  - 検出したスキャナー一覧
K8sランタイムスキャン
- オンデマンドまたはスケジュールスキャン
- 対象ネームスペースの自動検出
- 影響を受ける要素（アプリケーション、リソース、パッケージ、脆弱性）ごとのスキャン進捗と結果ナビゲーション
- CIS Dockerベンチマーク
CLI（CI/CD）
- 複数の統合コンテンツアナライザー（Syft、cyclonedx-gomod）を使用したSBOM生成
- 複数の統合スキャナー（Grype、Dependency-track）を使用したSBOM/イメージ/ディレクトリの脆弱性スキャン
- 異なるCI/CDステージ間でのSBOMと脆弱性のマージ
- KubeClarityバックエンドへの結果エクスポート
API
- KubeClarityのAPIはこちらからアクセスできます。

統合されたSBOM生成ツールと脆弱性スキャナー

KubeClarityコンテンツアナライザーは以下のSBOM生成ツールと統合しています：

KubeClarity脆弱性スキャナーは以下のスキャナーと統合しています：

アーキテクチャ

はじめに

KubeClarityバックエンド

Helmを使用したインストール:

Helmリポジトリを追加 ```shell helm repo add kubeclarity https://openclarity.github.io/kubeclarity
KubeClarityのデフォルトチャート値を保存する
```
helm show values kubeclarity/kubeclarity > values.yaml
```
values.yamlの設定を確認し、必要に応じて値を更新してください。サポートされているSBOMジェネレーターと脆弱性スキャナーを有効にして設定するには、Helm valuesの"vulnerability-scanner"セクションにある"analyzer"と"scanner"の設定を確認してください。
HelmでKubeClarityをデプロイする ```shell helm install --values values.yaml --create-namespace kubeclarity kubeclarity/kubeclarity -n kubeclarity

または、OpenShift Restricted SCC 互換のインストール: ```shell helm install --values values.yaml --create-namespace kubeclarity kubeclarity/kubeclarity -n kubeclarity --set global.openShiftRestricted=true
--set kubeclarity-postgresql.securityContext.enabled=false --set kubeclarity-postgresql.containerSecurityContext.enabled=false
--set kubeclarity-postgresql.volumePermissions.enabled=true --set kubeclarity-postgresql.volumePermissions.securityContext.runAsUser="auto"
--set kubeclarity-postgresql.shmVolume.chmod.enabled=false

3. KubeClarity UI にポートフォワーディングする:   ```shell
kubectl port-forward -n kubeclarity svc/kubeclarity-kubeclarity 9999:8080

ブラウザでKubeClarity UIを開きます: http://localhost:9999/

注記
KubeClarityには以下のK8s権限が必要です:

権限理由
CREDS_SECRET_NAMESPACE (デフォルト: kubeclarity) 内のシークレットを読み取りプライベートイメージリポジトリをスキャンするためのイメージプルシークレットを設定できるようにするため。
KubeClarityデプロイメント名前空間内のConfigMapを読み取りスキャナージョブの設定テンプレートを取得するために必要。
クラスタースコープでPodを一覧表示スキャンが必要なターゲットPodを算出するために必要。
名前空間を一覧表示 K8sランタイムスキャンUIでスキャンするターゲット名前空間を取得するために必要。
クラスタースコープでジョブを作成・削除ターゲットPodをその名前空間でスキャンするジョブを管理するために必要。

Helmを使用したアンインストール:

Helmアンインストール ```shell helm uninstall kubeclarity -n kubeclarity
リソースのクリーンアップ

デフォルトでは、Helm は StatefulSet の PVC と PV を削除しません。以下のコマンドを実行して、それらをすべて削除してください：
```
kubectl delete pvc -l app.kubernetes.io/instance=kubeclarity -n kubeclarity
```

デモデータを使用したローカルでのビルドと実行

UI とバックエンドをビルドし、バックエンドをローカルで起動します（2つのオプション）：
1. Docker を使用する場合：
  1. UI とバックエンドをビルドします（イメージタグは VERSION で設定）：
```
VERSION=test make docker-backend
```
  2. デモデータを使用してバックエンドを実行します：
```
docker run -p 8080:8080 -e FAKE_RUNTIME_SCANNER=true -e FAKE_DATA=true -e ENABLE_DB_INFO_LOGS=true -e DATABASE_DRIVER=LOCAL ghcr.io/openclarity/kubeclarity:test run
```
2. ローカルビルド：
  1. UI とバックエンドをビルドします
```
make ui && make backend
```
  2. ビルド済みサイトをコピーします：
```
cp -r ./ui/build ./site
```
  3. デモデータを使用してバックエンドをローカルで実行します：
```
FAKE_RUNTIME_SCANNER=true DATABASE_DRIVER=LOCAL FAKE_DATA=true ENABLE_DB_INFO_LOGS=true ./backend/bin/backend run
```
ブラウザで KubeClarity UI を開きます：http://localhost:8080/

CLI

KubeClarity には、ローカルで実行可能な CLI が含まれており、特に CI/CD パイプラインに役立ちます。イメージやディレクトリを分析して SBOM を生成し、脆弱性をスキャンできます。結果は KubeClarity バックエンドにエクスポートできます。

インストール

バイナリ配布

リリースページからお使いの OS 用のリリース配布物をダウンロードしてください。

kubeclarity-cli バイナリを展開し、PATH に追加すれば、すぐに使用できます！

Docker イメージ

```

kubeclarity

人気

目次

なぜ？