コンテナイメージのセキュリティリスクをスキャンする前に、Security Center にイメージリポジトリを追加する必要があります。本トピックでは、Security Center へのイメージリポジトリの追加方法について説明します。
イメージに関する制限事項
Security Center は、以下のコンテナイメージリポジトリをサポートしています。
Alibaba Cloud Container Registry (ACR)：Enterprise Edition および Personal Edition。
Security Center は ACR Enterprise Edition および Personal Edition の両方からイメージデータを同期しますが、セキュリティスキャンがサポートされるのは ACR Enterprise Edition のイメージのみです。
サードパーティ製イメージリポジトリ（プライベートイメージリポジトリ）：Harbor、Quay、GitLab。
前提条件
コンテナイメージスキャン 機能が有効になっていること。詳細については、「Security Center の購入」または「コンテナイメージスキャンの有効化」をご参照ください。
Alibaba Cloud Container Registry イメージリポジトリの追加
ACR Personal Edition インスタンスには制限がなく、作成後に Security Center に追加できます。ACR Enterprise Edition イメージリポジトリを Security Center に追加するには、ACR Enterprise Edition インスタンスに VPC を追加するだけで済みます。詳細については、「VPC アクセス制御の設定」をご参照ください。
Security Center は、ACR Enterprise Edition および Personal Edition からイメージデータを同期する以下の方法をサポートしています。
自動同期：Security Center はデフォルトで毎日早朝に ACR からイメージデータを同期します。
最新アセットの手動同期：詳細については、「アセットの同期」をご参照ください。
サードパーティ製イメージリポジトリ（プライベートイメージリポジトリ）の追加
ご利用のコンテナイメージリポジトリにアクセス制御ポリシーが設定されている場合は、イメージリポジトリが配置されているリージョンの IPAM プール IP アドレスをアクセス制御ホワイトリストに追加済みであることを確認してください。
サードパーティ製イメージサービスがハイブリッドクラウド環境（オンプレミス IDC ＋ クラウド VPC）にデプロイされている場合、トラフィック転送ルールを設定する必要があります。ECS インスタンスを指定し、そのトラフィックをサードパーティ製イメージサービスがホストされている IDC サーバーに転送します。
例：ECS インスタンスのポート A からのトラフィックを、192.168.XX.XX の IDC サーバー上のポート B に転送します。
CentOS 7 コマンド：
firewall-cmd を使用する場合：
firewall-cmd --permanent --add-forward-port=port=<Port A>:proto=tcp:toaddr=<192.168.XX.XX>:toport=<Port B>iptables を使用する場合：
ポート フォワーディングを有効化します。
echo "1" > /proc/sys/net/ipv4/ip_forwardポート フォワーディングを設定します。
iptables -t nat -A PREROUTING -p tcp --dport <Port A> -j DNAT --to-destination <192.168.XX.XX>:<Port B>
Windows コマンド：
netsh interface portproxy add v4tov4 listenport=<Port A> listenaddress=* connectaddress=<192.168.XX.XX> connectport=<Port B> protocol=tcp
[Security Center コンソールにログイン] します。Security Center コンソール。
左側のナビゲーションウィンドウで、 を選択します。コンソールの左上隅で、保護対象のアセットが配置されているリージョンを選択します：中国本土 または 中国本土以外。
コンテナアセット ページで、Image タブをクリックし、サードパーティイメージリポジトリ連携 セクションで アクセス をクリックします。
イメージリポジトリへの接続 パネルで、ご利用のプライベートリポジトリのパラメーターを設定し、OK をクリックします。
パラメーター 説明 リポジトリタイプ コンテナイメージの保存場所に基づき、プライベートリポジトリのタイプを選択します。有効な値：harbor、quay、gitlab。 エディション サードパーティ製イメージリポジトリのバージョンを選択します。有効な値：エディション：イメージリポジトリのバージョンが 1.X.X の場合に選択します。V2：イメージリポジトリのバージョンが 2.X.X 以降の場合に選択します。リポジトリタイプ として gitlab を選択した場合、デフォルトで V1 が選択され、変更できません。 通信タイプ Security Center とサードパーティ製イメージリポジトリ間の通信プロトコルを選択します。有効な値：http、https。 ネットワークタイプ サードパーティ製イメージリポジトリのネットワークタイプを選択します。有効な値：公、VPC。 RegionId サードパーティ製イメージリポジトリが配置されているリージョンを選択します。 IP サードパーティ製イメージリポジトリの IP アドレスとポート番号を入力します。サードパーティ製イメージリポジトリに対して転送ルールを設定している場合は、転送ルールが設定された ECS インスタンスの IP アドレスとポート番号を入力します。 Port ドメイン サードパーティ製イメージリポジトリのドメイン名を入力します。 レート制限 1 時間に同期可能なイメージの最大数を選択します。デフォルト値：10。1 時間に同期するイメージ数が多すぎると、ご利用のビジネス運用に影響を及ぼす可能性があります。慎重に操作してください。重要：無制限 ユーザー名 サードパーティ製イメージリポジトリにアクセスするための管理者権限を持つユーザー名を入力します。 Password サードパーティ製イメージリポジトリへのアクセスに使用するパスワードを入力します。 Quay Namespace Information （Quay のみ）Image Repository Organization テキストボックスに、イメージリポジトリ組織の名前を入力します。Auth_token テキストボックスに、イメージリポジトリ組織の Auth_token を入力します。追加 をクリックして、複数のイメージリポジトリ組織を追加できます。 GitLab Group Information （GitLab のみ）オーディエンスグループ情報 テキストボックスに、グループ名を入力します。ログイン不要設定 テキストボックスに、グループの Access_token を入力します。追加 をクリックして、複数のイメージリポジトリグループを追加できます。
サードパーティ製イメージリポジトリを追加後、保護設定 > コンテナ保護 > イメージセキュリティスキャン ページで、右上隅の スキャンの設定 をクリックします。スキャンの設定 パネルで、接続済みのイメージリポジトリ情報を確認できます。
イメージリポジトリ接続エラーコード
| コード | メッセージ | 解決策 |
|---|---|---|
| FailedToVerifyUsernameOrPwd | ユーザー名またはパスワードが無効です。 | ユーザー名とパスワードが正しいかどうかを確認してください。 |
| RegistryVersionError | イメージリポジトリのバージョンが無効です。 | 選択したバージョン（V1 または V2）がレジストリのバージョンと一致しているかどうかを確認してください。 |
| UserDoesNotHaveAdminRole | 管理者権限がありません。 | Harbor サーバーにログインし、アカウントに管理者権限を付与してください。 |
| NetworkConnectError | ネットワーク接続がタイムアウトしました。 | ネットワーク接続を確認し、ポート 80 またはポート 443 が開いていることを検証してください。 |
次のステップ
Security Center にイメージリポジトリを追加後、アセットセンター で Security Center によって保護されているイメージの情報を確認できます。詳細については、「コンテナセキュリティステータスの表示」をご参照ください。
また、Security Center を通じてイメージ内のリスクを検出するために、イメージセキュリティスキャンを実行する必要があります。詳細については、「イメージセキュリティスキャンの設定と実行」をご参照ください。