Security Center:Agregar repositorios de imágenes a Security Center

Límites de las imágenes

Security Center es compatible con los siguientes repositorios de imágenes de contenedor:

• Alibaba Cloud Container Registry (ACR): Enterprise Edition y Personal Edition.

  Security Center sincroniza los datos de imágenes tanto de ACR Enterprise Edition como de Personal Edition. Sin embargo, el análisis de seguridad solo está disponible para las imágenes de ACR Enterprise Edition.

• Repositorios de imágenes de terceros (repositorios de imágenes privados): Harbor, Quay y GitLab.

Requisitos previos

La función container image scan debe estar habilitada. Para obtener más información, consulte Purchase Security Center o Enable container image scan.

Agregar repositorios de imágenes de Alibaba Cloud Container Registry

Las instancias de ACR Personal Edition no tienen restricciones y se pueden agregar a Security Center después de su creación. Para agregar repositorios de imágenes de ACR Enterprise Edition a Security Center, solo necesita agregar una VPC a la instancia de ACR Enterprise Edition. Para obtener más información, consulte Configure VPC access control.

Security Center admite los siguientes métodos para sincronizar los datos de imágenes de ACR Enterprise Edition y Personal Edition:

• Sincronización automática: de forma predeterminada, Security Center sincroniza diariamente los datos de imágenes de ACR durante la madrugada.

• Sincronización manual de los recursos más recientes: para obtener más información, consulte Synchronize assets.

Agregar un repositorio de imágenes de terceros (repositorio de imágenes privado)

Si el repositorio de imágenes de contenedor tiene configurada una política de control de acceso, compruebe que haya agregado las direcciones IP del pool de la región correspondiente a la lista blanca de control de acceso.

1. Si el servicio de imágenes de terceros está desplegado en un entorno de nube híbrida (IDC local + VPC en la nube), configure reglas de reenvío de tráfico. Designe una instancia ECS y reenvíe su tráfico al servidor IDC donde se aloja el servicio de imágenes de terceros.

   Ejemplo: reenviar el tráfico del puerto A de la instancia ECS al puerto B del servidor IDC en 192.168.XX.XX.

   • Comandos para CentOS 7:

     • Con firewall-cmd:

       firewall-cmd --permanent --add-forward-port=port=<Port A>:proto=tcp:toaddr=<192.168.XX.XX>:toport=<Port B>

     • Con iptables:

       1. Habilite el reenvío de puertos.

          echo "1" > /proc/sys/net/ipv4/ip_forward

       2. Configure el reenvío de puertos.

          iptables -t nat -A PREROUTING -p tcp --dport <Port A> -j DNAT --to-destination <192.168.XX.XX>:<Port B>

   • Comando para Windows:

     netsh interface portproxy add v4tov4 listenport=<Port A> listenaddress=* connectaddress=<192.168.XX.XX> connectport=<Port B> protocol=tcp

2. Inicie sesión en la consola de Security Center.

3. En el panel de navegación izquierdo, seleccione Asset Center > Container. En la esquina superior izquierda de la consola, seleccione la región donde se encuentra el recurso que desea proteger: Chinese Mainland o Outside Chinese Mainland.

4. En la página Container, haga clic en la pestaña Image, busque la sección Add Third-party Image Repository y haga clic en Add.

5. En el panel Add Image Repository, configure los parámetros del repositorio privado y haga clic en OK.

   Parámetro	Descripción
   Private Repository Type	Seleccione el tipo de repositorio privado según el lugar donde se almacenan sus imágenes de contenedor. Valores válidos: harbor, quay, gitlab.
   Version	Seleccione la versión del repositorio de imágenes de terceros. Valores válidos: Version: elija esta opción si la versión del repositorio de imágenes es 1.X.X. V2: elija esta opción si la versión del repositorio de imágenes es 2.X.X o posterior. Cuando Private Repository Type se establece en gitlab, se selecciona V1 de forma predeterminada y no se puede modificar.
   Communication Type	Seleccione el protocolo de comunicación entre Security Center y el repositorio de imágenes de terceros. Valores válidos: http, https.
   Network Type	Seleccione el tipo de red del repositorio de imágenes de terceros. Valores válidos: Public, VPC.
   RegionId	Seleccione la región donde se encuentra el repositorio de imágenes de terceros.
   IP	Introduzca la dirección IP y el número de puerto del repositorio de imágenes de terceros. Si configuró reglas de reenvío de tráfico para dicho repositorio, introduzca la dirección IP y el número de puerto de la instancia ECS con las reglas de reenvío configuradas.
   Port
   Domain Name	Introduzca el nombre de dominio del repositorio de imágenes de terceros.
   Speed Limit	Seleccione el número máximo de imágenes que se pueden sincronizar por hora. Valor predeterminado: 10. Importante Si se sincronizan demasiadas imágenes por hora, las operaciones normales de su negocio podrían verse afectadas. Se recomienda no seleccionar Unlimited.
   Username	Introduzca el nombre de usuario con permisos de administrador que se utiliza para acceder al repositorio de imágenes de terceros.
   Password	Introduzca la contraseña para acceder al repositorio de imágenes de terceros.
   Quay Namespace Information	Este parámetro es obligatorio únicamente cuando Private Repository Type se establece en quay. En el cuadro de texto Image Repository Organization, introduzca el nombre de la organización del repositorio de imágenes. En el cuadro de texto Auth_token, introduzca el Auth_token de dicha organización. Puede hacer clic en Add para agregar varias organizaciones de repositorios de imágenes.
   GitLab Group Information	Este parámetro es obligatorio únicamente cuando Private Repository Type se establece en gitlab. En el cuadro de texto Group Information, introduzca el nombre del grupo. En el cuadro de texto Logon-free Configuration, introduzca el Access_token del grupo. Puede hacer clic en Add para agregar varios grupos de repositorios de imágenes.

   Después de agregar un repositorio de imágenes de terceros, vaya a la página Protection Configuration > Container Protection > Container Image Scan y haga clic en Scan Settings en la esquina superior derecha. De este modo podrá consultar la información de los repositorios de imágenes conectados en el panel Scan Settings.

Códigos de error de conexión del repositorio de imágenes

Pasos siguientes

Una vez que agregue los repositorios de imágenes a Security Center, podrá consultar la información de las imágenes protegidas en Asset Center. Para obtener más información, consulte View container security status.

También debe ejecutar un análisis de seguridad de imágenes para detectar riesgos mediante Security Center. Para obtener más información, consulte Configure and run image security scans.