Konteyner görüntülerini güvenlik risklerine karşı taramadan önce, görüntü depolarını Güvenlik Merkezi'ne eklemeniz gerekir. Bu konuda, görüntü depolarının Güvenlik Merkezi'ne nasıl ekleneceği açıklanmaktadır.
Görüntü sınırlamaları
Güvenlik Merkezi aşağıdaki konteyner görüntü depolarını destekler:
-
Alibaba Cloud Container Registry (ACR): Enterprise Edition ve Personal Edition.
Güvenlik Merkezi, ACR Enterprise Edition ve Personal Edition'dan görüntü verilerini senkronize eder ancak yalnızca ACR Enterprise Edition görüntüleri için güvenlik taramasını destekler.
Üçüncü taraf görüntü depoları (özel görüntü depoları): Harbor, Quay ve GitLab.
Önkoşullar
container image scan özelliği etkinleştirilmiş olmalıdır. Daha fazla bilgi için bkz. Güvenlik Merkezi Satın Alma veya Konteyner görüntüsü taramasını etkinleştirme.
Alibaba Cloud Container Registry görüntü depoları ekleme
ACR Personal Edition örneklerinde herhangi bir kısıtlama bulunmaz ve oluşturulduktan sonra Güvenlik Merkezi'ne eklenebilir. ACR Enterprise Edition görüntü depolarını Güvenlik Merkezi'ne eklemek için ACR Enterprise Edition örneğine yalnızca bir VPC eklemeniz yeterlidir. Daha fazla bilgi için bkz. VPC erişim denetimini yapılandırma.
Güvenlik Merkezi, ACR Enterprise Edition ve Personal Edition'dan görüntü verilerini senkronize etmek için aşağıdaki yöntemleri destekler:
Otomatik senkronizasyon: Güvenlik Merkezi, varsayılan olarak her gün sabahın erken saatlerinde ACR'den görüntü verilerini senkronize eder.
En son varlıkların manuel senkronizasyonu: Daha fazla bilgi için bkz. Varlıkları senkronize etme.
Üçüncü taraf görüntü deposu (özel görüntü deposu) ekleme
Konteyner görüntü deponuzda bir erişim denetimi ilkesi yapılandırılmışsa, görüntü deponuzun bulunduğu bölgeye ait IP adres havuzu IP'lerini erişim denetimi izin listesine eklediğinizden emin olun.
-
Üçüncü taraf görüntü hizmetiniz hibrit cloud kurulumunda (yerinde IDC + cloud VPC) dağıtılmışsa, trafik yönlendirme kurallarını yapılandırmanız gerekir. Bir ECS örneği belirleyin ve trafiğini üçüncü taraf görüntü hizmetinin barındırıldığı IDC sunucusuna yönlendirin.
Örnek: ECS örneğindeki A Bağlantı Noktası'ndan 192.168.XX.XX adresindeki IDC sunucusundaki B Bağlantı Noktası'na trafiği yönlendirin.
-
CentOS 7 komutları:
-
firewall-cmd kullanımı:
firewall-cmd --permanent --add-forward-port=port=<Port A>:proto=tcp:toaddr=<192.168.XX.XX>:toport=<Port B> -
iptables kullanımı:
-
Bağlantı noktası yönlendirmeyi etkinleştirin.
echo "1" > /proc/sys/net/ipv4/ip_forward -
Bağlantı noktası yönlendirmeyi yapılandırın.
iptables -t nat -A PREROUTING -p tcp --dport <Port A> -j DNAT --to-destination <192.168.XX.XX>:<Port B>
-
-
-
Windows komutu:
netsh interface portproxy add v4tov4 listenport=<Port A> listenaddress=* connectaddress=<192.168.XX.XX> connectport=<Port B> protocol=tcp
-
Şuraya gidin Security Center konsolu.
Sol gezinme bölmesinde, seçeneğini tıklayın. Konsolun sol üst köşesinde, korunacak varlığın bulunduğu bölgeyi seçin: Chinese Mainland veya Outside Chinese Mainland.
Container sayfasında, Image sekmesini tıklayın, Add Third-party Image Repository bölümünü bulun ve Add öğesini tıklayın.
-
Add Image Repository panelinde, özel deponuz için parametreleri yapılandırın ve ardından OK öğesini tıklayın.
Parametre
Açıklama
Private Repository Type
Konteyner görüntülerinizin depolandığı yere göre özel depo türünü seçin. Geçerli değerler: harbor, quay, gitlab.
Version
Üçüncü taraf görüntü deposunun sürümünü seçin. Geçerli değerler:
Version: Görüntü deposu sürümü 1.X.X ise bu sürümü seçin.
V2: Görüntü deposu sürümü 2.X.X veya üzeriyse bu sürümü seçin.
Private Repository Type, gitlab olarak ayarlandığında, V1 varsayılan olarak seçilir ve değiştirilemez.
Communication Type
Güvenlik Merkezi ile üçüncü taraf görüntü deposu arasındaki iletişim protokolünü seçin. Geçerli değerler: http, https.
Network Type
Üçüncü taraf görüntü deposunun ağ türünü seçin. Geçerli değerler: Public, VPC.
RegionId
Üçüncü taraf görüntü deposunun bulunduğu bölgeyi seçin.
IP
Üçüncü taraf görüntü deposunun IP adresini ve bağlantı noktası numarasını girin. Üçüncü taraf görüntü deposu için trafik yönlendirme kuralları yapılandırdıysanız, yönlendirme kuralları yapılandırılmış ECS örneğinin IP adresini ve bağlantı noktası numarasını girin.
Bağlantı Noktası
Domain Name
Üçüncü taraf görüntü deposunun alan adını girin.
Speed Limit
Saat başına senkronize edilebilecek maksimum görüntü sayısını seçin. Varsayılan değer: 10.
ÖnemliSaat başına çok fazla görüntü senkronize edilirse normal iş operasyonlarınız etkilenebilir. Unlimited seçmemenizi öneririz.
Username
Üçüncü taraf görüntü deposuna erişmek için kullanılan yönetici izinlerine sahip kullanıcı adını girin.
Parola
Üçüncü taraf görüntü deposuna erişmek için parolayı girin.
Quay Namespace Information
Bu parametre yalnızca Private Repository Type, quay olarak ayarlandığında gereklidir.
Image Repository Organization metin kutusuna, görüntü deposu kuruluşunun adını girin. Auth_token metin kutusuna, görüntü deposu kuruluşunun Auth_token değerini girin.
Birden fazla görüntü deposu kuruluşu eklemek için Add öğesini tıklayabilirsiniz.
GitLab Group Information
Bu parametre yalnızca Private Repository Type, gitlab olarak ayarlandığında gereklidir.
Group Information metin kutusuna grup adını girin. Logon-free Configuration metin kutusuna grubun Access_token değerini girin.
Birden fazla görüntü deposu grubu eklemek için Add öğesini tıklayabilirsiniz.
Üçüncü taraf bir görüntü deposu ekledikten sonra, şuraya gidebilirsiniz: sayfası ve sağ üst köşede Scan Settings öğesini tıklayarak Scan Settings panelinde bağlı görüntü depoları hakkındaki bilgileri görüntüleyebilirsiniz.
Görüntü deposu bağlantı hata kodları
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Sonraki adımlar
Görüntü depolarını Güvenlik Merkezi'ne ekledikten sonra, Güvenlik Merkezi tarafından korunan görüntülere ilişkin bilgileri Asset Center içinde görüntüleyebilirsiniz. Daha fazla bilgi için bkz. Konteyner güvenlik durumunu görüntüleme.
Görüntülerinizdeki riskleri Güvenlik Merkezi aracılığıyla tespit etmek için bir görüntü güvenlik taraması da gerçekleştirmeniz gerekir. Daha fazla bilgi için bkz. Görüntü güvenlik taramalarını yapılandırma ve çalıştırma.