Security Center は、コンテナイメージの脆弱性をスキャンできますが、その前にイメージリポジトリを接続する必要があります。本トピックでは、Container Registry インスタンスおよびサードパーティ製リポジトリ（Harbor、Quay、GitLab）を Security Center に追加する手順について説明します。
制限事項
Security Center でサポートされるイメージリポジトリは、以下の 2 カテゴリです：
Container Registry（Enterprise Edition および Personal Edition）：Security Center は両エディションからイメージのメタデータを同期しますが、スキャン対象となるのは Enterprise Edition のみです。
サードパーティ製リポジトリ：Harbor、Quay、GitLab。
前提条件
開始する前に、以下の条件を満たしていることを確認してください。
コンテナイメージのスキャン機能が有効化されていること。詳細については、「コンテナイメージのスキャン機能の有効化」および「Security Center の購入」をご参照ください。
Container Registry インスタンスの追加
エディションによって手順が若干異なります。
Personal Edition：Container Registry Personal Edition インスタンスを作成した後に、リポジトリを追加します。
Enterprise Edition：インスタンスを追加する前に、VPC アクセス制御リスト（ACL）を設定します。詳細については、「VPC ACL の設定」をご参照ください。
Container Registry インスタンスを追加すると、Security Center はイメージのメタデータを以下の 2 つの方法で最新の状態に保ちます。
自動：Security Center は毎日早朝に 1 回、イメージ情報を同期します。
手動：必要に応じて同期を実行できます。詳細については、「コンテナのセキュリティ情報の表示」をご参照ください。
サードパーティ製イメージリポジトリの追加
開始前の準備：ネットワークアクセス要件
サードパーティ製リポジトリで IP アローリストが有効になっている場合、リポジトリがホストされているリージョンに対応する Security Center の IP アドレスを追加してください。
| リージョン | パブリック IP アドレス | プライベート IP アドレス |
|---|---|---|
| 中国 (杭州) | 47.96.166.214 | 100.104.12.64/26 |
| 中国 (上海) | 139.224.15.48、101.132.180.26、47.100.18.171、47.100.0.176、139.224.8.64、101.132.70.106、101.132.156.228、106.15.36.12、139.196.168.125、47.101.178.223、47.101.220.176 | 100.104.43.0/26 |
| 中国 (青島) | 47.104.111.68 | 100.104.87.192/26 |
| 中国 (北京) | 47.95.202.245 | 100.104.114.192/26 |
| 中国 (張家口) | 39.99.229.195 | 100.104.187.64/26 |
| 中国 (フフホト) | 39.104.147.68 | 100.104.36.0/26 |
| 中国 (深セン) | 120.78.64.225 | 100.104.250.64/26 |
| 中国 (広州) | 8.134.118.184 | 100.104.111.0/26 |
| 中国 (香港) | 8.218.59.176 | 100.104.130.128/26 |
| 日本 (東京) | 47.74.24.20 | 100.104.69.0/26 |
| シンガポール | 8.219.240.137 | 100.104.67.64/26 |
| 米国 (シリコンバレー) | 47.254.39.224 | 100.104.145.64/26 |
| 米国 (バージニア) | 47.252.4.238 | 100.104.36.0/26 |
| ドイツ (フランクフルト) | 47.254.158.71 | 172.16.0.0/20 |
| イギリス (ロンドン) | 8.208.14.12 | 172.16.0.0/20 |
| インドネシア (ジャカルタ) | 149.129.238.99 | 100.104.193.128/26 |
トラフィック転送の設定（VPC 接続型データセンターのみ）
サードパーティ製イメージサービスが、VPC 経由で Alibaba Cloud に接続されたオンプレミスデータセンター上で稼働している場合、Security Center は直接アクセスできません。この場合、Elastic Compute Service（ECS）インスタンスをトラフィックフォワーダーとして使用します。Security Center は ECS インスタンスに接続し、ECS インスタンスがオンプレミスのレジストリサーバーにリクエストを転送します。
以下のコマンドは、ECS インスタンスの ポート A で受信したトラフィックを、192.168.XX.XX のオンプレミスサーバーの ポート B に転送します。
CentOS 7 — firewall-cmd
firewall-cmd --permanent --add-forward-port=port=<Port A>:proto=tcp:toaddr=<192.168.XX.XX>:toport=<Port B>CentOS 7 — iptables
以下の 2 つのコマンドを順に実行します。
IP フォワーディングを有効化します。
echo "1" > /proc/sys/net/ipv4/ip_forwardDNAT を使用してポート転送を設定します。
iptables -t nat -A PREROUTING -p tcp --dport <Port A> -j DNAT --to-destination <192.168.XX.XX>:<Port B>
Windows
netsh interface portproxy add v4tov4 listenport=<Port A> listenaddress=* connectaddress=<192.168.XX.XX> connectport=<Port B> protocol=tcp<Port A>、<192.168.XX.XX>、および <Port B> は、ご利用の環境に応じた実際のポート番号および IP アドレスに置き換えてください。
操作手順
Security Center コンソールにログインします。上部のナビゲーションバーで、管理対象のリソースが存在するリージョンを選択します：中国 または 中国以外。Security Center コンソールにログインします。
左側のナビゲーションウィンドウで、リソース → コンテナ を選択します。
コンテナ ページで、イメージ タブをクリックし、サードパーティ製イメージリポジトリの追加 の下にある 追加 をクリックします。
イメージリポジトリの追加 パネルで、以下のパラメーターを設定し、次へ をクリックします。
パラメーター 説明 プライベートリポジトリの種類 レジストリの種類です。有効な値： harbor、quay、gitlab。 バージョン レジストリのバージョンです。V1 は 1.X.X、V2 は 2.X.X 以降に対応しています。GitLab はデフォルトで V1 であり、変更できません。 通信タイプ Security Center がレジストリに接続するために使用するプロトコルです。有効な値： http、https。 ネットワークタイプ インターネット または VPC。 RegionId サードパーティ製リポジトリがホストされているリージョンです。 IP リポジトリの IP アドレスです。トラフィック転送を設定済みの場合は、代わりに ECS インスタンスの IP アドレスを入力します。 ポート ポート番号です。トラフィック転送を設定済みの場合は、代わりに ECS インスタンスのポート（ポート A）を入力します。 ドメイン名 リポジトリのドメイン名です。 速度制限 1 時間あたりに同期するイメージの最大数です。デフォルト値は 10 です。「無制限版」に設定すると、サービスに影響を与える可能性があります。環境がより高いスループットを処理できる場合を除き、デフォルト値のままにしてください。 ユーザー名 サードパーティ製イメージリポジトリへのアクセスに使用する、管理者権限を持つアカウントのユーザー名です。 パスワード アカウントのパスワードです。 Quay 名前空間情報 （Quay のみ）イメージリポジトリ組織 名と対応する Auth_token を入力します。複数の組織を登録するには、追加 をクリックします。 GitLab グループ情報 （GitLab のみ）グループ情報 名と対応する Access_token を入力します。複数のグループを登録するには、追加 をクリックします。
リポジトリを追加した後、左側のナビゲーションウィンドウで 保護設定 → コンテナ保護 → コンテナイメージのスキャン を選択し、右上隅の スキャン設定 をクリックして、接続を確認します。
トラブルシューティング
| エラーコード | メッセージ | 解決方法 |
|---|---|---|
| FailedToVerifyUsernameOrPwd | ユーザー名またはパスワードが無効です。 | ユーザー名およびパスワードが正しいか確認してください。 |
| RegistryVersionError | イメージリポジトリのバージョンが無効です。 | 選択したバージョン（V1 または V2）が、ご使用のレジストリのバージョンと一致するか確認してください。 |
| UserDoesNotHaveAdminRole | 管理者権限がありません。 | Harbor サーバーにログインし、該当アカウントに管理者権限を付与してください。 |
| NetworkConnectError | ネットワーク接続がタイムアウトしました。 | ネットワーク接続を確認し、ポート 80 またはポート 443 が開放されているか確認してください。VPC 接続型リポジトリの場合は、トラフィック転送ルールが正しく設定されているか確認してください。 |
次のステップ
イメージリポジトリを追加すると、Security Center はそのリポジトリに含まれるイメージをモニターします。イメージの詳細を表示するには、イメージ タブを コンテナ ページでクリックします。詳細については、「コンテナのセキュリティ情報の表示」をご参照ください。
イメージのセキュリティリスクをスキャンするには、「イメージのスキャン」をご参照ください。