使用限制

Trivy引擎：受掃描引擎限制，建議鏡像單層大小不要超過3GB，否則可能出現(xiàn)掃描失敗，若您需要掃描超過3GB的鏡像，建議使用云安全引擎掃描。

單鏡像掃描

1. 登錄容器鏡像服務(wù)控制臺。

2. 在頂部菜單欄，選擇所需地域。

3. 在左側(cè)導(dǎo)航欄，選擇實例列表。

4. 在實例列表頁面單擊目標(biāo)企業(yè)版實例。

5. 在企業(yè)版實例管理頁面選擇倉庫管理 > 鏡像倉庫。

6. 在鏡像倉庫頁面單擊目標(biāo)倉庫操作列的管理。

7. 在鏡像倉庫詳情頁面左側(cè)導(dǎo)航欄中選擇鏡像版本，單擊目標(biāo)鏡像版本操作列的安全掃描。

8. 在安全掃描頁面單擊立即掃描。

   待掃描完成后，您可以在安全掃描頁面查看掃描結(jié)果，包括安全漏洞詳細(xì)信息。關(guān)于掃描結(jié)果的詳細(xì)介紹，請參見鏡像掃描結(jié)果。

批量鏡像掃描

1. 為企業(yè)版實例配置VPC網(wǎng)絡(luò)。具體操作，請參見配置專有網(wǎng)絡(luò)的訪問控制。

   您需要為企業(yè)版實例配置VPC網(wǎng)絡(luò)，批量掃描鏡像功能需要使用該VPC網(wǎng)絡(luò)掃描鏡像。

   首次使用云安全掃描引擎需要訪問云安全后臺，首次訪問會提示您創(chuàng)建AliyunServiceRoleForSas系統(tǒng)角色。

   說明

   如果您已為企業(yè)版實例配置VPC網(wǎng)絡(luò)，無需執(zhí)行此步驟。

2. 登錄容器鏡像服務(wù)控制臺。

3. 在頂部菜單欄，選擇所需地域。

4. 在實例列表頁面單擊目標(biāo)企業(yè)版實例。

5. 在企業(yè)版實例管理頁面選擇安全可信 > 鏡像掃描。

6. 選擇掃描引擎。

   • 設(shè)置掃描引擎為Trivy掃描引擎。

     • 如果您之前未購買云安全掃描引擎，則鏡像掃描頁面右上角默認(rèn)使用Trivy掃描引擎。

     • 如果您已購買云安全中心里的鏡像掃描服務(wù)，Trivy掃描引擎就會切換成云安全掃描引擎，您需要在鏡像掃描頁面右上角單擊云安全掃描引擎右側(cè)的切換，單擊Trivy掃描引擎，在提示對話框單擊確定。

   • 設(shè)置掃描引擎為云安全掃描引擎

     如果您已購買云安全掃描引擎，則鏡像掃描頁面默認(rèn)使用云安全引擎，您無需進(jìn)行其他操作。如果您未購買云安全掃描引擎，您需要進(jìn)行以下操作：

     1. 授予云安全中心調(diào)用ACR的OpenAPI權(quán)限。

        1. 單擊云資源訪問授權(quán)。

        2. 在云資源訪問授權(quán)頁面單擊同意授權(quán)。

     2. 在鏡像掃描頁面掃描信息區(qū)域單擊立即升級云安全引擎。

     3. 設(shè)置安全掃描為云安全掃描引擎，其他參數(shù)根據(jù)實際情況設(shè)置，單擊立即購買，然后完成支付。

        返回鏡像掃描頁面，可以看到頁面右上角已默認(rèn)切換為云安全引擎。

        說明

        購買云安全掃描引擎后，您可以在鏡像掃描頁面掃描信息區(qū)域單擊設(shè)置，在提示對話框選中同步，然后單擊確定。啟用同步功能后，容器鏡像服務(wù)將自動同步實例刪除、鏡像推送、鏡像刪除、鏡像倉庫刪除的消息至云安全中心。

7. 創(chuàng)建掃描規(guī)則。

   1. 在鏡像掃描頁面單擊創(chuàng)建規(guī)則。

   2. 在掃描規(guī)則配置向?qū)е休斎?b data-tag="uicontrol" id="uicontrol-w3c-ffq-8z7" class="uicontrol">規(guī)則名稱，設(shè)置掃描范圍，然后單擊下一步。

      支持按照命名空間和倉庫對鏡像進(jìn)行安全掃描：

      • 按照命名空間掃描：選擇命名空間，輸入鏡像版本過濾的正則規(guī)則。

      • 按照倉庫掃描：選擇命名空間、倉庫，輸入鏡像版本過濾的正則規(guī)則。

   3. 可選：在事件通知配置向?qū)е性O(shè)置通知方式。

      支持釘釘、HTTP和HTTPS通知：

      • 釘釘：設(shè)置通知方式為釘釘，然后輸入Webhook地址和加簽密鑰。

      • HTTP：設(shè)置通知方式為HTTP，然后輸入HTTP地址。

      • HTTPS：設(shè)置通知方式為HTTPS，然后輸入HTTPS地址。

      鏡像掃描成功后，會發(fā)送通知給釘釘、HTTP或HTTPS。

   4. 單擊創(chuàng)建。

8. 手動觸發(fā)鏡像掃描。

   說明

   掃描規(guī)則創(chuàng)建完成后，支持手動和自動觸發(fā)鏡像掃描。自動觸發(fā)指只要鏡像推送或構(gòu)建成功，就會自動觸發(fā)鏡像掃描。

   1. 在鏡像掃描頁面單擊目標(biāo)規(guī)則右側(cè)操作列下的立即掃描。

   2. 在彈出的對話框單擊確定。

      在任務(wù)列表區(qū)域看到掃描任務(wù)的掃描狀態(tài)顯示掃描完成，說明鏡像掃描成功。

9. 查看掃描結(jié)果。

   1. 在鏡像掃描頁面任務(wù)列表區(qū)域單擊目標(biāo)任務(wù)右側(cè)操作列下的查看任務(wù)。

   2. 在任務(wù)詳情頁面單擊任務(wù)右側(cè)操作列下的查看詳情。

      您可以在安全掃描頁面查看掃描結(jié)果，包括安全漏洞詳細(xì)信息。

      說明

      如果您設(shè)置的掃描規(guī)則中包含多個鏡像，則任務(wù)詳情頁面會存在多條任務(wù)，您可以查看任意一個任務(wù)的鏡像掃描結(jié)果。

鏡像掃描結(jié)果

查看Trivy引擎的掃描結(jié)果

查看云安全引擎的掃描結(jié)果

在安全掃描頁面可以查看檢測到的系統(tǒng)漏洞、應(yīng)用漏洞、基線檢查和惡意樣本，掃描結(jié)果按照高危、中危、低危、未評級四個漏洞等級匯總漏洞信息，默認(rèn)按照漏洞等級排列展示。

修復(fù)系統(tǒng)漏洞

如果您使用的是云安全掃描引擎，您還可以使用一鍵修復(fù)系統(tǒng)漏洞功能。具體操作如下：

在安全掃描頁面選中漏洞，單擊頁面底部的一鍵修復(fù)，在修復(fù)對話框設(shè)置修復(fù)后的鏡像是否覆蓋原鏡像，然后單擊立即修復(fù)。