版本限制

僅云安全中心的旗艦版支持該功能，其他版本不支持。購買和升級云安全中心服務的具體操作，請參見購買云安全中心和升級與降配。

鏡像限制

云安全中心支持接入的容器鏡像倉庫包括：

• 阿里云容器鏡像服務ACR：企業版和個人版。

  目前云安全中心支持同步ACR企業版和個人版的鏡像數據，僅支持對ACR企業版鏡像進行鏡像安全掃描。

• 第三方鏡像倉庫（私有鏡像倉庫）：Harbor鏡像倉庫、Quay鏡像倉庫、GitLab鏡像倉庫。

前提條件

已購買云安全中心旗艦版并開通鏡像安全掃描功能。具體操作，請參見購買云安全中心和開通服務。

接入阿里云容器服務鏡像倉庫

ACR個人版實例無限制，創建后即可接入云安全中心。將ACR企業版鏡像倉庫接入到云安全中心，只需為ACR企業版實例添加專有網絡，相關操作，請參見配置專有網絡的訪問控制。

云安全中心支持通過以下方式同步ACR企業版和個人版的鏡像數據：

• 自動同步：云安全中心默認每日凌晨同步容器鏡像服務ACR中的鏡像數據。

• 手動同步最新資產：具體操作，請參見同步最新資產。

接入第三方鏡像倉庫（私有鏡像倉庫）

如果您的容器鏡像倉庫設置了訪問控制策略，請確保已將鏡像倉庫對應的地域的地址池IP加入到訪問控制白名單中。

1. 如果您的第三方鏡像服務是通過線下IDC+云上VPC的混合云方式來部署的，您需要配置流量的轉發規則，即指定一臺ECS服務器，將其訪問流量轉發到第三方鏡像服務所在的IDC服務器上。

   示例：將執行轉發任務的ECS服務器中A端口的流量，轉發至第三方鏡像服務所在的IDC服務器192.168.XX.XX的B端口。

   • CentOS 7命令：

     • 使用firewallcmd：

       firewall-cmd --permanent --add-forward-port=port=<A端口>:proto=tcp:toaddr=<192.168.XX.XX>:toport=<B端口>

     • 使用iptables：

       1. 開啟端口轉發。

          echo "1" > /proc/sys/net/ipv4/ip_forward                                                                                                                                                                                                                                                                                                                                                                                                                                                                           

       2. 設置端口轉發。

          iptables -t nat -A PREROUTING -p tcp --dport <A端口> -j DNAT --to-destination <192.168.XX.XX>:<B端口>

   • Windows命令：

     netsh interface portproxy add v4tov4 listenport=<端口A> listenaddress=* connectaddress=<192.168.XX.XX> connectport=<端口B> protocol=tcp

2. 登錄云安全中心控制臺。在控制臺左上角，選擇需防護資產所在的區域：中國或全球（不含中國）。

3. 在左側導航欄，選擇資產中心 > 容器資產。

4. 在容器資產頁面的鏡像頁簽下，定位到三方鏡像倉接入區域，單擊接入。

5. 在接入鏡像倉面板，配置接入私有倉庫的參數，最后單擊確定。

   配置項	說明
   私有倉庫類型	根據您容器鏡像存儲的鏡像倉庫選擇私有倉庫類型。目前支持選擇harbor、quay、gitlab類型的倉庫。
   版本	選擇第三方鏡像倉庫的版本。可選項： V1：鏡像倉庫版本為1.X.X時，選擇該版本。 V2：鏡像倉庫版本為2.X.X及以上時，選擇該版本。 私有倉庫類型選擇gitlab時，默認已選擇V1版本，不可修改。
   通信類型	選擇云安全中心與第三方鏡像倉庫的通信協議。可選項：http、https。
   網絡類型	選擇第三方鏡像倉庫的網絡類型。可選項：公網、VPC。
   RegionId	選擇第三方鏡像倉庫所在區域。
   IP	輸入第三方鏡像倉庫的IP地址和端口號。如果您為第三方鏡像配置了流量轉發規則，您需要填寫已配置了轉發規則的ECS的IP地址和端口號。
   端口
   域名	輸入第三方鏡像倉庫的域名。
   限速	選擇每小時可接入的鏡像個數。默認為10。 重要 如果每小時內接入的鏡像過多，可能會影響您的正常業務的運行，建議您謹慎選擇無限制。
   用戶名	輸入訪問第三方鏡像倉庫時使用的具有管理員權限的用戶名。
   密碼	輸入訪問第三方鏡像倉庫的密碼。
   Quay名稱空間信息	僅私有倉庫類型選擇quay時需要配置該參數。 在鏡像倉庫組織文本框輸入鏡像倉庫組織的名稱，在Auth_token文本框輸入鏡像倉庫組織對應的Auth_token。 您可以單擊添加輸入多條鏡像倉庫組織信息。
   gitlab群組信息	僅私有倉庫類型選擇gitlab時需要配置該參數。 在群組信息文本框輸入鏡像倉庫群組的名稱，在Access_token文本框輸入鏡像倉庫群組對應的Access_token。 您可以單擊添加輸入多條鏡像倉庫的群組信息。

   接入第三方鏡像倉庫后，您可以在防護配置 > 容器防護 > 鏡像安全掃描頁面，單擊右上角的掃描設置，在掃描設置面板中查看已接入的鏡像倉庫信息。

鏡像接入錯誤碼