Trivy GitLab CI コンポーネント

Trivy（オールインワンのセキュリティスキャナー：コンテナイメージ、ファイルシステム、リポジトリ、Kubernetesクラスター、SBOM、ライセンスコンプライアンスをカバー）のためのGitLab CIコンポーネントです。これらのテンプレートをパイプラインに直接組み込むことで、繰り返し可能なスキャン、GitLabネイティブのレポート、スクリプトをほとんど書かずにポータブルなアーティファクトを取得できます。

機能

• 完全なサーフェスカバレッジ：コンテナ、ファイルシステム、ルートファイルシステム、Gitリポジトリ、VM、SBOM、Kubernetesクラスターなど。
• 複数のスキャナー：脆弱性、誤設定/IaC、シークレット、ライセンススキャン。ジョブごとに制御可能。
• GitLabレポート：コンテナスキャン、JUnit、SARIF、JSONのアーティファクトを出力。マージリクエストのインサイトに利用可能。
• カスタマイズ可能な入力：各テンプレートは重大度、スキャナー、タイムアウト、パッケージタイプ、アーティファクトの設定を公開。
• 構成可能なテンプレート：リモート/ローカルスキャン、SBOMワークフロー、Rekorアテステーション、IaCチェックを1つのコンポーネントネームスペースから組み合わせ可能。

使用方法

基本的な使用方法

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/main@latest

stages:
  - test

カスタム重大度指定のリモートイメージスキャン

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/main@latest
    inputs:
      job_name: "security:remote"
      TRIVY_SCAN_REMOTE_IMAGE: "registry.gitlab.com/group/app:latest"
      severity: "CRITICAL,HIGH,MEDIUM"
      exit_on_vulnerability: true

stages:
  - test

ローカルtar/OCIレイアウトスキャン

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/main@latest
    inputs:
      job_name: "security:local"
      TRIVY_SCAN_LOCAL_IMAGES: "dist/"
      TRIVY_SCANNERS: "vuln,secret"
      exit_on_vulnerability: false

stages:
  - test

コンポーネント入力とテンプレート

以下の各テンプレートは、コンポーネント仕様で定義された利用可能な入力とデフォルト値、および最小限の動作例を示しています。

コンポーネント: templates/main.yml

入力	説明	デフォルト
job_name	CIジョブの名前	"trivy scanning"
stage	パイプラインステージ	"test"
image	Trivyを実行するコンテナイメージ	"ghcr.io/aquasecurity/trivy:0.68.1"
TRIVY_NEEDED_STAGE	Trivyが実行される前に完了している必要があるステージ	"build"
TRIVY_SCAN_REMOTE_IMAGE	スキャンするリモートイメージ	""
TRIVY_SCAN_LOCAL_IMAGES	tar/OCI入力へのパス（空の場合は.を検索）	""
TRIVY_SCANNERS	カンマ区切りのスキャナー	"vuln,secret,misconfig"
severity	含める重大度	"CRITICAL,HIGH"
exit_on_vulnerability	問題が見つかった場合ジョブを失敗させる	true
TRIVY_EXTRA_ARGS	追加のCLIフラグ	""
allow_failure	パイプラインを失敗させずにジョブの失敗を許可	false

例

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/main@latest
    inputs:
      job_name: "trivy:basic"
      TRIVY_SCAN_REMOTE_IMAGE: "nginx:latest"

コンポーネント: templates/target_container.yml

入力	説明	デフォルト
job_name	CIジョブ名	"trivy:scan:containers"
stage	パイプラインステージ	"test"
image	Trivyコンテナイメージ	"ghcr.io/aquasecurity/trivy:0.68.1"
TRIVY_SCAN_REMOTE_IMAGE	リモートイメージ参照	""
TRIVY_SCAN_LOCAL_IMAGES	ローカルスキャン用のディレクトリ/tar	""
TRIVY_SCANNERS	有効なスキャナー	"vuln,secret,misconfig"
TRIVY_IMAGE_SRC	イメージソースバックエンド（remote/docker/...）	""
severity	重大度	"CRITICAL,HIGH"
exit_on_vulnerability	重大度一致で失敗	true
TRIVY_IGNORE_UNFIXED	修正のない問題を無視	true
TRIVY_PKG_TYPES	パッケージタイプ	"os,library"
TRIVY_VULN_TYPE	非推奨: pkg typesのエイリアス	""
TRIVY_TIMEOUT	コマンドタイムアウト	"10m"
TRIVY_EXTRA_ARGS	追加CLI引数	""
TRIVY_DB_REPOSITORY	カスタムDBミラー	""
TRIVY_JAVA_DB_REPOSITORY	カスタムJava DBミラー	""
TRIVY_SKIP_FILES	ファイルグロブ除外	""
TRIVY_SKIP_DIRS	ディレクトリ除外	""
allow_failure	パイプライン失敗を伴わずに失敗を許可	false

例

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/target_container@latest
    inputs:
      job_name: "trivy:containers"
      TRIVY_SCAN_REMOTE_IMAGE: "registry.gitlab.com/group/service:latest"
      TRIVY_SCANNERS: "vuln,secret"
      exit_on_vulnerability: true

コンポーネント: templates/target_filesystem.yml

入力	説明	デフォルト
job_name	CIジョブ名	"trivy:scan:filesystem"
stage	パイプラインステージ	"test"
image	Trivyイメージ	"ghcr.io/aquasecurity/trivy:0.68.1"
TRIVY_FS_PATH	スキャンするファイルまたはディレクトリ	"."
TRIVY_SCANNERS	有効なスキャナー	"vuln,secret"
severity	重大度	"CRITICAL,HIGH"
exit_on_vulnerability	重大度一致で失敗	true
TRIVY_IGNORE_UNFIXED	修正のない問題を無視	true
TRIVY_PKG_TYPES	パッケージタイプ	"os,library"
TRIVY_TIMEOUT	タイムアウト	"10m"
TRIVY_SKIP_FILES	スキップするファイルグロブ	""
TRIVY_SKIP_DIRS	スキップするディレクトリ	""
TRIVY_EXTRA_ARGS	追加CLI引数	""
TRIVY_REPORT_BASENAME	アーティファクトのベース名	"filesystem-scan"
allow_failure	ジョブの失敗を許可	false

例

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/target_filesystem@latest
    inputs:
      TRIVY_FS_PATH: "services/api"
      TRIVY_SCANNERS: "vuln,misconfig,secret"

コンポーネント: templates/target_rootfs.yml

入力	説明	デフォルト
job_name	ジョブ名	"trivy:scan:rootfs"
stage	ステージ	"test"
image	Trivyイメージ	"ghcr.io/aquasecurity/trivy:0.68.1"
TRIVY_ROOTFS_PATH	ルートファイルシステムパス	"/"
TRIVY_SCANNERS	スキャナー	"vuln,secret"
severity	重大度	"CRITICAL,HIGH"
exit_on_vulnerability	検出時にジョブを失敗	true
TRIVY_IGNORE_UNFIXED	未修正を無視	true
TRIVY_PKG_TYPES	パッケージタイプ	"os,library"
TRIVY_TIMEOUT	タイムアウト	"10m"
TRIVY_SKIP_FILES	スキップするファイル	""
TRIVY_SKIP_DIRS	スキップするディレクトリ	""
TRIVY_EXTRA_ARGS	追加引数	""
TRIVY_REPORT_BASENAME	アーティファクトベース名	"rootfs-scan"
allow_failure	失敗を許可	false

例

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/target_rootfs@latest
    inputs:
      TRIVY_ROOTFS_PATH: "/mnt/root"
      TRIVY_SCANNERS: "vuln"

コンポーネント: templates/target_repository.yml

入力	説明	デフォルト
job_name	ジョブ名	"trivy:scan:repo"
stage	ステージ	"test"
image	Trivyイメージ	"ghcr.io/aquasecurity/trivy:0.68.1"
TRIVY_REPO_TARGET	ローカルパスまたはGit URL	"."
TRIVY_REPO_BRANCH	リモートブランチ	""
TRIVY_REPO_COMMIT	コミットハッシュ	""
TRIVY_REPO_TAG	タグ名	""
TRIVY_SCANNERS	スキャナー	"vuln,secret"
severity	重大度	"CRITICAL,HIGH"
exit_on_vulnerability	検出時にジョブを失敗	true
TRIVY_IGNORE_UNFIXED	未修正を無視	true
TRIVY_TIMEOUT	タイムアウト	"10m"
TRIVY_SKIP_FILES	スキップするファイル	""
TRIVY_SKIP_DIRS	スキップするディレクトリ	""
TRIVY_EXTRA_ARGS	追加引数	""
TRIVY_REPORT_BASENAME	アーティファクトベース名	"repo-scan"
allow_failure	失敗を許可	false

例

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/target_repository@latest
    inputs:
      TRIVY_REPO_TARGET: "https://github.com/aquasecurity/trivy"
      TRIVY_REPO_BRANCH: "main"

コンポーネント: templates/target_vm.yml

入力	説明	デフォルト
job_name	ジョブ名	"trivy:scan:vm"
stage	ステージ	"test"
image	Trivyイメージ	"ghcr.io/aquasecurity/trivy:0.68.1"
TRIVY_VM_TARGET	ローカルパスまたはami:/ebs:識別子	""
TRIVY_AWS_REGION	AMI/EBSスキャン用のAWSリージョン	""
TRIVY_SCANNERS	スキャナー	"vuln"
severity	重大度	"CRITICAL,HIGH"
exit_on_vulnerability	検出時にジョブを失敗	true
TRIVY_IGNORE_UNFIXED	未修正を無視	true
TRIVY_TIMEOUT	タイムアウト	"20m"
TRIVY_EXTRA_ARGS	追加引数	""
TRIVY_REPORT_BASENAME	アーティファクトベース名	"vm-scan"
allow_failure	失敗を許可	false

例

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/target_vm@latest
    inputs:
      TRIVY_VM_TARGET: "ami-0123456789abcdef0"
      TRIVY_AWS_REGION: "us-east-1"

コンポーネント: templates/target_kubernetes.yml