Kubernetes 原生安全工具包。（文档）

简介

Trivy Operator 利用 Trivy 持续扫描你的 Kubernetes 集群以发现安全问题。扫描结果以安全报告的形式汇总为 Kubernetes [自定义资源定义]，可通过 Kubernetes API 访问。Operator 通过监视 Kubernetes 的状态变化并自动触发相应的安全扫描来实现这一点。例如，当创建新的 Pod 时会启动漏洞扫描。 这样，用户就可以以 Kubernetes 原生的方式查找和查看与不同资源相关的风险。

集群内安全扫描

Trivy Operator 自动生成并更新安全报告。这些报告是针对 Kubernetes 集群上的新工作负载和其他变化而生成的，包括以下报告：

• 漏洞扫描：针对 Kubernetes 工作负载、控制平面和节点组件（api-server、controller-manager、kubelet 等）的自动化漏洞扫描
• 配置审计扫描：使用预定义规则或自定义 Open Policy Agent (OPA) 策略对 Kubernetes 资源进行自动化配置审计。
• 暴露密钥扫描：自动化密钥扫描，用于查找并详细说明集群中暴露的 Secret 的位置。
• RBAC 扫描：基于角色的访问控制扫描，提供已安装的不同资源的访问权限的详细信息。
• K8s 核心组件基础设施评估扫描：对 Kubernetes 基础设施核心组件（etcd、apiserver、scheduler、controller-manager 等）的设置和配置进行扫描。
• k8s 过时 API 验证 - configaudit 检查将验证资源 API 是否已被弃用并计划移除
• 合规性报告
  • 生成 NSA、CISA Kubernetes 加固指南 v1.1 网络安全技术报告。
  • 生成 CIS Kubernetes Benchmark v1.23 网络安全技术报告。
  • Kubernetes pss-baseline，Pod 安全标准
  • Kubernetes pss-restricted，Pod 安全标准
• 针对 Kubernetes 工作负载的 SBOM（软件物料清单生成）。

如果你想让我们继续开发和改进 trivy-operator，请给仓库点个 star ⭐！😀

使用

官方[文档]提供了详细的安装、配置、故障排除和快速入门指南。

你可以使用[静态 YAML 清单]安装 Trivy-operator Operator，并按照入门指南了解漏洞和配置审计报告是如何自动生成的。

快速开始

Trivy Operator 可以通过 Helm Chart 轻松安装。 Helm Chart 可以通过以下两种方式之一下载：

选项 1：从传统 helm chart 仓库安装

添加 Aqua chart 仓库：

   helm repo add aqua https://aquasecurity.github.io/helm-charts/
   helm repo update

安装 Helm Chart：

   helm install trivy-operator aqua/trivy-operator \
     --namespace trivy-system \
     --create-namespace \
     --version 0.37.0

选项 2：从 OCI registry 安装（支持 Helm v3.8.0+）

安装 Helm Chart：

   helm install trivy-operator oci://ghcr.io/aquasecurity/helm-charts/trivy-operator \
     --namespace trivy-system \
     --create-namespace \
     --version 0.37.0

这会将 Trivy Helm Chart 安装到 trivy-system 命名空间，并开始触发扫描。

状态

尽管我们努力保持新版本与之前版本的向后兼容性，但该项目仍处于孵化阶段， 一些 API 和[自定义资源定义]可能会发生变化。

贡献

在这个早期阶段，我们非常希望听到你对 Trivy-Operator 整体概念的反馈。随着时间的推移，我们希望能看到 集成不同安全工具的贡献，以便用户能够以标准的、 Kubernetes 原生的方式访问安全信息。

• 有关设置开发环境的信息以及我们期望的贡献工作流程，请参阅[贡献指南]。
• 请确保在与 Aqua 项目及其社区的任何互动中遵守我们的行为准则。

---

Trivy-Operator 是 Aqua Security 的开源项目。
了解我们的[开源工作和项目集]。
加入社区，在 GitHub Discussions 或 Slack 中与我们讨论任何事宜。