Container Registry:コンテナイメージのセキュリティスキャン

制限事項

Trivy スキャンエンジン：スキャンエンジンの制限により、単一のイメージレイヤーは 3 GB を超えることはできません。超えた場合、スキャンが失敗する可能性があります。3 GB を超えるイメージの場合は、Security Center スキャンエンジンを使用してください。

単一イメージのスキャン

1. Container Registry コンソールにログインします。

2. 上部のナビゲーションバーで、リージョンを選択します。

3. 左側のナビゲーションウィンドウで、[インスタンス] をクリックします。

4. [インスタンス] ページで、管理する Enterprise Edition インスタンスをクリックします。

5. Enterprise Edition インスタンスの管理ページの左側のナビゲーションウィンドウで、[リポジトリ] > [リポジトリ] を選択します。

6. [リポジトリ] ページで、管理するリポジトリを見つけ、[操作] 列の [管理] をクリックします。

7. リポジトリ詳細ページの左側のナビゲーションウィンドウで イメージのバージョン をクリックします。対象のタグを見つけ、操作 列の セキュリティスキャン をクリックします。

8. セキュリティスキャン ページで、スキャン をクリックします。

   スキャンが完了すると、セキュリティスキャン ページに、詳細な脆弱性情報を含む結果が表示されます。スキャン結果の詳細については、「イメージスキャンの結果」をご参照ください。

イメージのバッチスキャン

1. Enterprise Edition インスタンスに VPC を設定します。詳細については、「VPC のアクセス制御の設定」をご参照ください。

   イメージのバッチスキャン機能がイメージをスキャンするために使用する Enterprise Edition インスタンスに VPC を設定する必要があります。

   初めて Security Center スキャンエンジンを使用する場合は、Security Center コンソールにアクセスする必要があります。初めてコンソールにアクセスすると、AliyunServiceRoleForSas システムロールの作成を求めるプロンプトが表示されます。

   説明

   Enterprise Edition インスタンスに VPC をすでに設定している場合は、このステップをスキップできます。

2. Container Registry コンソールにログインします。

3. 上部のナビゲーションバーで、リージョンを選択します。

4. [インスタンス] ページで、管理する Enterprise Edition インスタンスをクリックします。

5. Enterprise Edition インスタンスの管理ページで、セキュリティと信頼性 > イメージのスキャン を選択します。

6. スキャンエンジンを選択します。

   • スキャンエンジンを Trivy スキャンエンジン に設定します。

     • Security Center スキャンエンジンを購入していない場合、イメージのスキャン ページではデフォルトで Trivy スキャンエンジンが使用されます。

     • Security Center でイメージスキャンサービスを購入した場合、システムはスキャンエンジンを Security Center スキャンエンジンに切り替えます。元に戻すには、イメージのスキャン ページの右上隅にある セキュリティスキャンエンジン の横にある 切り替え をクリックします。次に、Trivy スキャンエンジン をクリックし、ヒント ダイアログボックスで OK をクリックします。

   • スキャンエンジンを セキュリティスキャンエンジン に設定します

     Security Center スキャンエンジンを購入した場合、イメージのスキャン ページではデフォルトのエンジンとなり、追加の操作は不要です。Security Center スキャンエンジンを購入していない場合は、次の手順を実行します。

     1. Security Center に ACR の OpenAPI オペレーションを呼び出す権限を付与します。

        1. [クラウドリソースへのアクセス承認] をクリックします。

        2. クラウドリソースのアクセス許可 ページで、許可する をクリックします。

     2. イメージのスキャン ページの スキャン情報 エリアで、[Security Center スキャンエンジンを今すぐアップグレード] をクリックします。

     3. セキュリティスキャン を セキュリティスキャンエンジン に設定し、要件に基づいて他のパラメーターを設定し、今すぐ購入する をクリックして支払いを完了します。

        イメージのスキャン ページに戻ります。Security Center スキャンエンジンがデフォルトで使用されるようになります。

        説明

        Security Center スキャンエンジンを購入した後、イメージのスキャン ページの スキャン情報 エリアで 設定 をクリックできます。ヒント ダイアログボックスで 同期 を選択し、OK をクリックします。同期が有効になると、Container Registry はインスタンスの削除、イメージのプッシュ、イメージの削除、リポジトリの削除イベントを Security Center に自動的に同期します。

7. スキャンルールを作成します。

   1. イメージのスキャン ページで、ルールの作成 をクリックします。

   2. スキャンルール ウィザードで、ルール名 を入力し、範囲 を設定して、次へ をクリックします。

      イメージは名前空間またはリポジトリでスキャンできます。

      • 名前空間別：名前空間 を選択し、タグをフィルターするための正規表現を入力します。

      • リポジトリ別：名前空間 と リポジトリ を選択し、タグをフィルターするための正規表現を入力します。

   3. (オプション) インシデント通知 ウィザードで、通知方法を設定します。

      DingTalk、HTTP、または HTTPS 経由で通知を送信できます。

      • DingTalk：通知方法 を DingTalk に設定し、Webhook URL とシークレットトークンを入力します。

      • HTTP：通知方法 を [HTTP] に設定し、HTTP アドレスを入力します。

      • HTTPS：通知方法 を [HTTPS] に設定し、HTTPS アドレスを入力します。

      イメージスキャンが成功すると、システムは設定された DingTalk、HTTP、または HTTPS エンドポイントに通知を送信します。

   4. 作成 をクリックします。

8. 手動でイメージスキャンをトリガーします。

   説明

   スキャンルールを作成した後、手動または自動でイメージスキャンをトリガーできます。自動スキャンは、イメージが正常にプッシュまたはビルドされるたびにトリガーされます。

   1. イメージのスキャン ページで、対象のルールを見つけ、操作 列の スキャン をクリックします。

   2. 表示されるダイアログボックスで、OK をクリックします。

      タスクリスト で、スキャンの ステータス が 完了 に変わると、スキャンは成功です。

9. スキャン結果を表示します。

   1. イメージのスキャン ページの タスクリスト セクションで対象のタスクを見つけ、操作 列の タスクの表示 をクリックします。

   2. タスクの詳細 ページで、タスクを見つけ、操作 列の 詳細を表示 をクリックします。

      セキュリティスキャン ページで、詳細な脆弱性情報を含むスキャン結果を表示できます。

      説明

      設定したスキャンルールに複数のイメージが含まれている場合、タスクの詳細 ページには複数のタスクが表示されます。任意のタスクのスキャン結果を表示できます。

イメージスキャンの結果

システムの脆弱性の修正

Security Center スキャンエンジンは、システムの脆弱性に対する修正機能も提供します。この機能を使用するには：

セキュリティスキャン ページで、修正したい脆弱性を選択し、ページ下部の 修正 をクリックします。修正 ダイアログボックスで、元のイメージを修正後のイメージで上書きするかどうかを指定し、今すぐ修正 をクリックします。

関連ドキュメント

API オペレーションを使用してタグのスキャンステータスをクエリする場合は、「イメージタグのスキャンステータスの取得」をご参照ください。