Klar

ClairとDocker Registryの統合（Clair API v1およびv3をサポート）

Klarは、Clair（https://github.com/coreos/clair）を使用して、プライベートまたはパブリックなDockerレジストリに保存されたイメージのセキュリティ脆弱性を分析するためのシンプルなツールです。Klarは統合ツールとして使用されるように設計されているため、環境変数に依存します。依存関係が不要な単一のバイナリです。

Klarは、DockerレジストリとClair間のイメージチェックを調整するクライアントとして機能します。

バイナリインストール

最も簡単な方法は、https://github.com/optiopay/klar/releases/ から最新リリース（OSXおよびLinux用）をダウンロードし、バイナリを PATH 内のフォルダに配置することです（実行権限があることを確認してください）。

ソースコードからのインストール

Go言語コンパイラがインストールされ、構成されていることを確認してください https://golang.org/doc/install

その後、以下を実行します：

go get github.com/optiopay/klar

Goのバイナリフォルダが PATH に含まれていることを確認してください（例：export PATH=$PATH:/usr/local/go/bin）

使用方法

Klarプロセスは、イメージで検出された高重要度の脆弱性の数がしきい値（下記参照）以下の場合は 0 を返し、それを超える場合は 1 を返します。エラーが発生してイメージを分析できなかった場合は 2 を返します。

Klarは以下の環境変数で設定できます：

CLAIR_ADDR - Clairサーバーのアドレス。形式は protocol://host:port です。protocol と port はそれぞれデフォルトで http と 6060 になり、省略可能です。URLに基本認証を指定することもできます：protocol://login:password@host:port。
CLAIR_OUTPUT - 重要度レベルのしきい値。このしきい値以上の重要度レベルの脆弱性が出力されます。サポートされるレベルは Unknown、Negligible、Low、Medium、High、Critical、Defcon1 です。デフォルトはです。

使用方法：

CLAIR_ADDR=localhost CLAIR_OUTPUT=High CLAIR_THRESHOLD=10 DOCKER_USER=docker DOCKER_PASSWORD=secret klar postgres:9.5.1

デバッグ出力

KLAR_TRACE を true に設定することで、より詳細な出力を有効にできます。

複数回実行間で永続化するには、export KLAR_TRACE=true を実行します。

Docker化バージョン

KlarをDocker化できます。$GOPATH/src/github.com/optiopay/klar に移動し、プロジェクトルートでKlarをビルドします。Linuxの場合：

CGO_ENABLED=0 go build -a -installsuffix cgo .

Macの場合は、Linux用にビルドすることを忘れないでください：

GOOS=linux go build .

Dockerイメージをビルドするには、プロジェクトルートで以下を実行します（必要に応じて klar を完全修飾名に置き換えてください）：

docker build -t klar .

次に、環境変数を個別の --env 引数として渡すか、envファイルを作成して --env-file 引数として渡します。例えば、env変数を my-klar.env として保存します：

CLAIR_ADDR=localhost
CLAIR_OUTPUT=High
CLAIR_THRESHOLD=10
DOCKER_USER=docker
DOCKER_PASSWORD=secret

その後、以下を実行します：

docker run --env-file=my-klar.env klar postgres:9.5.1

Amazon ECRサポート

Amazon ECRには永続的なユーザー名/パスワードはありません。認証情報は aws ecr get-login を使用して取得する必要があり、12時間有効です。以下は、KlarにECR認証情報を提供するために使用できるサンプルスクリプトです：

DOCKER_LOGIN=`aws ecr get-login --no-include-email`
PASSWORD=`echo $DOCKER_LOGIN | cut -d' ' -f6`
REGISTRY=`echo $DOCKER_LOGIN | cut -d' ' -f7 | sed "s/https:\/\///"`
DOCKER_USER=AWS DOCKER_PASSWORD=${PASSWORD} ./klar ${REGISTRY}/my-image

Google GCRサポート

GCR（Google Container Registry）に対する認証の最も簡単な方法は、アプリケーションデフォルト認証情報を使用することです。これらはGCPからKlarを実行する場合にのみ機能します。唯一の要件はGoogle Cloud SDKです。

DOCKER_USER=oauth2accesstoken
DOCKER_PASSWORD="$(gcloud auth application-default print-access-token)"

Dockerを使用する場合：

DOCKER_USER=oauth2accesstoken
DOCKER_PASSWORD="$(docker run --rm google/cloud-sdk:alpine gcloud auth application-default print-access-token)"

klar

人気