Работа с Docker-образами

Подключение репозитория с контейнерами

Для работы с Docker-образами необходимо предварительно подключить Docker-репозиторий в разделе System -> Registries. Основные поддерживаемые менеджеры для hosted Docker-репозиториев – это Sonatype Nexus Repository и JFrog Artifactory.

Переход на форму создания нового подключения осуществляется по кнопке Setup new. В форме необходимо заполнить следующие поля:

Name – название репозитория;
Is active – признак действующего репозитория. Для недействующих репозиториев не будет обновляться список доступных образов;
Type – тип менеджера репозитория (Sonatype Nexus Repository, JFrog Artifactory или другой);
Host – адрес репозитория с протоколом;
Username – имя пользователя с доступом к репозиторию;
Password – пароль.

Проверить подключение к репозиторию после заполнения данных можно по кнопке Test it.

После создания нового подключения по кнопке Setup now репозиторий отобразится в списке раздела, с возможностью просмотреть информацию о нем (View), изменить параметры подключения (Edit), или удалить подключение (Delete).

Для обновления списка доступных образов необходимо нажать на кнопку Update images list на странице просмотра. Также на странице просмотра доступна проверка подключения по кнопке Refresh status.

Просмотр и сканирование образов

После подключения реестра полученные названия образов автоматически отображаются в разделе Container images. Каждая запись в списке содержит следующую информацию:

Name – название образа;
Container registry – название репозитория с контейнерами;
Dependencies – количество найденных зависимостей;
Vulnerabilities - количество найденных уязвимостей;
Activity status – статус актуальности образа с двумя возможными значениями:
- Active для найденных при последнем обновлении списка образов;
- Archived для более не доступных образов;
Scan status – статус сканирования образа;
Block status – статус блокирования политиками безопасности;
Last scanned – дата последнего сканирования.

По умолчанию добавленный образ не является просканированным. Для проведения анализа необходимо перейти на страницу образа и нажать на кнопку Run SCA. По результатам сканирования на странице образа появится информация о найденных зависимостях и уязвимостях, а также список сработавших политик безопасности.

Для каждого просканированного образа доступно скачивание SBoM и просмотр истории сканирований по кнопке SCA scan history.