Trivy GitLab CI Компонент

Компонент GitLab CI для Trivy — универсального сканера безопасности, охватывающего образы контейнеров, файловые системы, репозитории, кластеры Kubernetes, SBOM и лицензионную совместимость. Подключайте эти шаблоны напрямую в свои конвейеры, чтобы получать повторяемые сканирования, нативные отчёты GitLab и переносимые артефакты практически без написания shell-скриптов.

Возможности

• Полное покрытие поверхности: Контейнеры, файловые системы, корневые файловые системы, Git-репозитории, ВМ, SBOM, кластеры Kubernetes и многое другое.
• Несколько сканеров: Сканирование уязвимостей, неверных конфигураций/IaC, секретов и лицензий с индивидуальными настройками для каждого задания.
• Отчёты GitLab: Создаёт артефакты Container Scanning, JUnit, SARIF и JSON, готовые для анализа в запросах на слияние.
• Настраиваемые входные данные: Каждый шаблон предоставляет параметры для уровней серьёзности, сканеров, таймаутов, типов пакетов и артефактов.
• Компонуемые шаблоны: Комбинируйте удалённые или локальные сканирования, рабочие процессы SBOM, аттестации Rekor и проверки IaC из одного пространства имён компонента.

Использование

Базовое использование

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/main@latest

stages:
  - test

Удалённый образ с произвольным уровнем серьёзности

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/main@latest
    inputs:
      job_name: "security:remote"
      TRIVY_SCAN_REMOTE_IMAGE: "registry.gitlab.com/group/app:latest"
      severity: "CRITICAL,HIGH,MEDIUM"
      exit_on_vulnerability: true

stages:
  - test

Локальное сканирование tar / OCI Layout

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/main@latest
    inputs:
      job_name: "security:local"
      TRIVY_SCAN_LOCAL_IMAGES: "dist/"
      TRIVY_SCANNERS: "vuln,secret"
      exit_on_vulnerability: false

stages:
  - test

Входные данные компонента и шаблоны

Каждый шаблон ниже перечисляет доступные входные данные и значения по умолчанию, определённые в спецификации компонента, а затем минимальный рабочий пример.

Компонент: templates/main.yml

Входные данные	Описание	По умолчанию
job_name	Имя задания CI	"trivy scanning"
stage	Стадия конвейера	"test"
image	Образ контейнера, выполняющий Trivy	"ghcr.io/aquasecurity/trivy:0.68.1"
TRIVY_NEEDED_STAGE	Стадия, которая должна завершиться до запуска Trivy	"build"
TRIVY_SCAN_REMOTE_IMAGE	Удалённый образ для сканирования	""
TRIVY_SCAN_LOCAL_IMAGES	Путь к tar/OCI входным данным (ищет в . при пустом значении)	""
TRIVY_SCANNERS	Разделённые запятыми сканеры	"vuln,secret,misconfig"
severity	Включаемые уровни серьёзности	"CRITICAL,HIGH"
exit_on_vulnerability	Завершать задание с ошибкой при обнаружении проблем	true
TRIVY_EXTRA_ARGS	Дополнительные флаги CLI	""
allow_failure	Разрешить сбой задания без сбоя конвейера	false

Пример

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/main@latest
    inputs:
      job_name: "trivy:basic"
      TRIVY_SCAN_REMOTE_IMAGE: "nginx:latest"

Компонент: templates/target_container.yml

Входные данные	Описание	По умолчанию
job_name	Имя задания CI	"trivy:scan:containers"
stage	Стадия конвейера	"test"
image	Образ контейнера Trivy	"ghcr.io/aquasecurity/trivy:0.68.1"
TRIVY_SCAN_REMOTE_IMAGE	Ссылка на удалённый образ	""
TRIVY_SCAN_LOCAL_IMAGES	Каталог/tar для локального сканирования	""
TRIVY_SCANNERS	Включённые сканеры	"vuln,secret,misconfig"
TRIVY_IMAGE_SRC	Бэкенд источника образа (remote/docker/...)	""
severity	Уровни серьёзности	"CRITICAL,HIGH"
exit_on_vulnerability	Завершать с ошибкой при совпадении по серьёзности	true
TRIVY_IGNORE_UNFIXED	Игнорировать проблемы без исправлений	true
TRIVY_PKG_TYPES	Типы пакетов	"os,library"
TRIVY_VULN_TYPE	Устаревший псевдоним для типов пакетов	""
TRIVY_TIMEOUT	Таймаут команды	"10m"
TRIVY_EXTRA_ARGS	Дополнительные аргументы CLI	""
TRIVY_DB_REPOSITORY	Пользовательское зеркало БД	""
TRIVY_JAVA_DB_REPOSITORY	Пользовательское зеркало БД Java	""
TRIVY_SKIP_FILES	Исключения файлов по шаблону	""
TRIVY_SKIP_DIRS	Исключения каталогов	""
allow_failure	Разрешить сбой без сбоя конвейера	false

Пример

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/target_container@latest
    inputs:
      job_name: "trivy:containers"
      TRIVY_SCAN_REMOTE_IMAGE: "registry.gitlab.com/group/service:latest"
      TRIVY_SCANNERS: "vuln,secret"
      exit_on_vulnerability: true

Компонент: templates/target_filesystem.yml

Входные данные	Описание	По умолчанию
job_name	Имя задания CI	"trivy:scan:filesystem"
stage	Стадия конвейера	"test"
image	Образ Trivy	"ghcr.io/aquasecurity/trivy:0.68.1"
TRIVY_FS_PATH	Файл или каталог для сканирования	"."
TRIVY_SCANNERS	Включённые сканеры	"vuln,secret"
severity	Уровни серьёзности	"CRITICAL,HIGH"
exit_on_vulnerability	Завершать с ошибкой при совпадении по серьёзности	true
TRIVY_IGNORE_UNFIXED	Игнорировать неисправленные проблемы	true
TRIVY_PKG_TYPES	Типы пакетов	"os,library"
TRIVY_TIMEOUT	Таймаут	"10m"
TRIVY_SKIP_FILES	Шаблоны файлов для пропуска	""
TRIVY_SKIP_DIRS	Каталоги для пропуска	""
TRIVY_EXTRA_ARGS	Дополнительные аргументы CLI	""
TRIVY_REPORT_BASENAME	Базовое имя артефакта	"filesystem-scan"
allow_failure	Разрешить сбой задания	false

Пример

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/target_filesystem@latest
    inputs:
      TRIVY_FS_PATH: "services/api"
      TRIVY_SCANNERS: "vuln,misconfig,secret"

Компонент: templates/target_rootfs.yml

Входные данные	Описание	По умолчанию
job_name	Имя задания	"trivy:scan:rootfs"
stage	Стадия	"test"
image	Образ Trivy	"ghcr.io/aquasecurity/trivy:0.68.1"
TRIVY_ROOTFS_PATH	Путь к корневой файловой системе	"/"
TRIVY_SCANNERS	Сканеры	"vuln,secret"
severity	Уровни серьёзности	"CRITICAL,HIGH"
exit_on_vulnerability	Завершать задание при обнаружении	true
TRIVY_IGNORE_UNFIXED	Игнорировать неисправленные	true
TRIVY_PKG_TYPES	Типы пакетов	"os,library"
TRIVY_TIMEOUT	Таймаут	"10m"
TRIVY_SKIP_FILES	Файлы для пропуска	""
TRIVY_SKIP_DIRS	Каталоги для пропуска	""
TRIVY_EXTRA_ARGS	Дополнительные аргументы	""
TRIVY_REPORT_BASENAME	Базовое имя артефакта	"rootfs-scan"
allow_failure	Разрешить сбой	false

Пример

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/target_rootfs@latest
    inputs:
      TRIVY_ROOTFS_PATH: "/mnt/root"
      TRIVY_SCANNERS: "vuln"

Компонент: templates/target_repository.yml