Security Center:Security Center へのイメージリポジトリの追加

イメージの制限

Security Center は、次のコンテナイメージリポジトリをサポートします。

• Alibaba Cloud Container Registry (ACR)：Enterprise Edition および Personal Edition。

  Security Center は、ACR Enterprise Edition と Personal Edition の両方からイメージデータを同期しますが、セキュリティスキャンは ACR Enterprise Edition のイメージのみをサポートします。

• サードパーティイメージリポジトリ (プライベートイメージリポジトリ)：Harbor、Quay、GitLab。

前提条件

コンテナイメージスキャン機能が有効になっていること。詳細については、「Security Center の購入」または「コンテナイメージスキャンの有効化」をご参照ください。

Alibaba Cloud Container Registry イメージリポジトリの追加

ACR Personal Edition インスタンスには制限がなく、作成後に Security Center に追加できます。ACR Enterprise Edition イメージリポジトリを Security Center に追加するには、ACR Enterprise Edition インスタンスに VPC を追加するだけで済みます。詳細については、「VPC アクセス制御の設定」をご参照ください。

Security Center は、ACR Enterprise Edition および Personal Edition からイメージデータを同期する次の方法をサポートします。

• 自動同期：Security Center は、デフォルトで毎日早朝に ACR からイメージデータを同期します。

• 最新資産の手動同期：詳細については、「資産の同期」をご参照ください。

サードパーティイメージリポジトリ (プライベートイメージリポジトリ) の追加

コンテナイメージリポジトリにアクセス制御ポリシーが設定されている場合は、イメージリポジトリのリージョンに対応する IP アドレスプールの IP アドレスを、アクセス制御のホワイトリストに追加していることを確認してください。

1. サードパーティのイメージサービスがハイブリッドクラウド環境 (オンプレミス IDC + クラウド VPC) にデプロイされている場合は、トラフィック転送ルールを設定する必要があります。ECS インスタンスを指定し、そのトラフィックをサードパーティのイメージサービスがホストされている IDC サーバーに転送する必要があります。

   例：ECS インスタンスのポート A から、192.168.XX.XX の IDC サーバーのポート B にトラフィックを転送します。

   • CentOS 7 コマンド：

     • firewall-cmd を使用する場合：

       firewall-cmd --permanent --add-forward-port=port=<ポート A>:proto=tcp:toaddr=<192.168.XX.XX>:toport=<ポート B>

     • iptables を使用する場合：

       1. ポートフォワーディングを有効にします。

          echo "1" > /proc/sys/net/ipv4/ip_forward

       2. ポートフォワーディングを設定します。

          iptables -t nat -A PREROUTING -p tcp --dport <ポート A> -j DNAT --to-destination <192.168.XX.XX>:<ポート B>

   • Windows コマンド：

     netsh interface portproxy add v4tov4 listenport=<ポート A> listenaddress=* connectaddress=<192.168.XX.XX> connectport=<ポート B> protocol=tcp

2. Security Center コンソールにログインします。

3. 左側メニューで、アセットセンター > コンテナアセット を選択します。コンソールの左上隅で、保護する資産が配置されているリージョン (中国本土 または 中国本土以外) を選択します。

4. コンテナアセット ページで [イメージ] タブをクリックし、サードパーティイメージリポジトリ連携 セクションを見つけて、アクセス をクリックします。

5. イメージリポジトリへの接続 パネルで、プライベートリポジトリのパラメータを設定し、[OK] をクリックします。

   パラメータ	説明
   [Private Repository Type]	コンテナイメージが保存されている場所に基づいて、プライベートリポジトリのタイプを選択します。有効な値：[harbor]、[quay]、[gitlab]。
   [エディション]	サードパーティイメージリポジトリのバージョンを選択します。有効な値： [エディション]：イメージリポジトリのバージョンが 1.X.X の場合は、このバージョンを選択します。 [V2]：イメージリポジトリのバージョンが 2.X.X 以降の場合は、このバージョンを選択します。 [Private Repository Type]が [gitlab] に設定されている場合、[V1] がデフォルトで選択され、変更できません。
   [通信タイプ]	Security Center とサードパーティイメージリポジトリ間の通信プロトコルを選択します。有効な値：[http]、[https]。
   [ネットワークタイプ]	サードパーティイメージリポジトリのネットワークタイプを選択します。有効な値：[公]、[VPC]。
   RegionId	サードパーティイメージリポジトリが配置されているリージョンを選択します。
   [IP]	サードパーティイメージリポジトリの IP アドレスとポート番号を入力します。サードパーティイメージリポジトリのトラフィック転送ルールを設定した場合は、転送ルールを設定した ECS インスタンスの IP アドレスとポート番号を入力します。
   ポート
   [ドメイン]	サードパーティイメージリポジトリのドメイン名を入力します。
   [レート制限]	1 時間あたりに同期できるイメージの最大数を選択します。デフォルト値：[10]。 重要 1 時間あたりに同期されるイメージが多すぎると、通常の業務に影響を与える可能性があります。[無制限]を選択しないことを推奨します。
   [ユーザー名]	サードパーティイメージリポジトリへのアクセスに使用する管理者権限を持つユーザー名を入力します。
   パスワード	サードパーティイメージリポジトリにアクセスするためのパスワードを入力します。
   [Quay Namespace Information]	このパラメータは、[Private Repository Type]が [quay] に設定されている場合にのみ必要です。 Image Repository Organization テキストボックスに、イメージリポジトリ組織の名前を入力します。[Auth_token] テキストボックスに、イメージリポジトリ組織の Auth_token を入力します。 追加 をクリックして、複数のイメージリポジトリ組織を追加できます。
   [GitLab Group Information]	このパラメータは、[Private Repository Type]が [gitlab] に設定されている場合にのみ必要です。 オーディエンスグループ情報 テキストボックスに、グループ名を入力します。ログイン不要設定 テキストボックスに、グループの Access_token を入力します。 追加 をクリックして、複数のイメージリポジトリグループを追加できます。

   サードパーティイメージリポジトリを追加した後、保護設定 > コンテナ保護 > イメージセキュリティスキャン ページに移動し、右上隅の スキャンの設定 をクリックして、スキャンの設定 パネルで接続したイメージリポジトリの情報を確認できます。

イメージリポジトリ接続エラーコード