#Настройка Docker

docker:
  enabled: true
  repository:
    - name: docker
      registry: https://registry-1.docker.io
      auth-token-url: https://auth.docker.io/token
      scan-container: true
      codescoring-pull-through-proxy: false
      work-mode: strict_wait

Docker использует стандартные endpoints Registry API v2. Имя репозитория из конфигурации не добавляется в путь клиента.

auth-token-url — полный URL token endpoint. OSA Proxy не добавляет к нему /token. Поле необязательно: не задавайте его для registry, которому не требуется отдельный token service. При неверной настройке OSA Proxy выводит предупреждение в журнал.

#Проверка манифестов образов

Параметр scan-container включает проверку манифестов контейнерных образов в CodeScoring перед отдачей клиенту. По умолчанию он включен (true). При scan-container: false запросы манифестов и слоев проксируются напрямую (passthrough) без проверки.

#Использование OSA Proxy как Docker registry в CodeScoring

Чтобы CodeScoring скачивал слои образов через тот же инстанс OSA Proxy:

1. Добавьте OSA Proxy как реестр контейнерных образов в CodeScoring, указав внешний адрес прокси.
2. Включите codescoring-pull-through-proxy: true в настройках нужного Docker-репозитория:

docker:
  enabled: true
  repository:
    - name: codescoring-docker
      registry: https://registry-1.docker.io
      auth-token-url: https://auth.docker.io/token
      scan-container: true
      codescoring-pull-through-proxy: true

В этом режиме OSA Proxy передает адрес прокси и временный токен обхода в запросе на проверку. Когда CodeScoring выполняет обратный pull для анализа слоев, прокси распознает токен, привязанный к образу и репозиторию, и пропускает загрузку без повторного циклического сканирования.

Особенности режима:

• Требуется обязательное указание codescoring.token.
• Токен обхода действует 2 минуты.
• При наличии Redis токены обхода сохраняются в нем и доступны всем репликам OSA Proxy. Без Redis используется локальная память инстанса, поэтому для нескольких реплик требуется Redis либо sticky routing.

docker pull osa-proxy.example.com/library/alpine:latest

Для Docker Hub можно настроить OSA Proxy как registry mirror в /etc/docker/daemon.json:

{
  "registry-mirrors": ["https://osa-proxy.example.com"]
}

После изменения перезапустите Docker daemon.

Если включено несколько Docker-репозиториев, используйте схему с поддоменами, где поддомен соответствует repository[*].name:

docker pull docker.osa-proxy.example.com/library/alpine:latest

Это требуется из-за особенностей Docker Registry API v2: клиент всегда обращается к фиксированным путям /v2/... и /token, поэтому имя репозитория OSA Proxy нельзя добавить первым сегментом пути, как для npm, Maven или PyPI. Когда настроен один Docker-репозиторий, OSA Proxy может обслуживать его через основной host. Когда Docker-репозиториев несколько, сервис определяет нужную конфигурацию по host запроса.

Например, для конфигурации:

docker:
  enabled: true
  repository:
    - name: dockerhub
      registry: https://registry-1.docker.io
      auth-token-url: https://auth.docker.io/token
    - name: company
      registry: https://registry.company.example
      auth-token-url: https://registry.company.example/service/token

клиенты должны использовать разные hostnames:

docker pull dockerhub.osa-proxy.example.com/library/alpine:latest
docker pull company.osa-proxy.example.com/team/image:latest

Для такой схемы настройте DNS wildcard или отдельные DNS-записи для поддоменов, TLS-сертификат с поддержкой этих имен и reverse proxy/load balancer, который передает запросы на OSA Proxy с исходным Host.

OSA Proxy формирует URL авторизации с учетом адреса, по которому к нему обратился клиент. Docker attestation manifests возвращаются клиенту без проверки.