Todas as instâncias do Harbor criadas no Harbor-as-a-Service ligam-se a um verificador de vulnerabilidades do Trivy para ajudar a identificar e resolver riscos de segurança nas suas imagens de contentores. O Trivy é o scanner predefinido nas versões 2.2 e posteriores do Harbor. O Trivy analisa o conteúdo das suas imagens de contentores, comparando-o com bases de dados de vulnerabilidades conhecidas, como a National Vulnerability Database, para identificar potenciais problemas.Para mais informações, consulte https://github.com/aquasecurity/trivy.
Antes de começar
Tem de configurar o seu ambiente com as ferramentas e as autorizações necessárias para executar análises de vulnerabilidades.
Pré-requisitos obrigatórios
- Scanner Trivy: tem de ter ativado o Trivy quando instalou a instância do Harbor, anexando a opção de instalação
--with-trivy. Para mais informações, consulte a documentação do Harbor sobre a execução do script do instalador: https://goharbor.io/docs/2.12.0/install-config/run-installer-script/. - Projeto do Harbor: tem de ter um projeto do Harbor existente. Para mais informações, consulte Crie projetos do Harbor.
Funções RBAC do Harbor necessárias
Ao contrário das funções de IAM do GDC, a análise de vulnerabilidades requer autorizações específicas no sistema de controlo de acesso baseado em funções (CABF) interno do Harbor. Peça as autorizações necessárias ao seu administrador. Aplique o acesso com o menor privilégio pedindo apenas as funções necessárias para as suas tarefas específicas.
- ProjectAdmin: necessário para configurar as análises, iniciar análises manuais de vulnerabilidades e atualizar as definições de vulnerabilidades ao nível do projeto. Ao utilizador que cria o projeto do Harbor é atribuída automaticamente a função de
ProjectAdminpara esse projeto, e este pode atribuir funções a outros utilizadores. Para mais informações sobre todas as funções disponíveis, consulte a documentação do Harbor sobre as autorizações de utilizador por função: https://goharbor.io/docs/2.12.0/administration/managing-users/user-permissions-by-role/.
Digitalize artefactos individuais em Harbor
Siga estes passos para analisar artefactos individuais no Harbor:
- Inicie sessão na interface do Harbor com uma conta que tenha a função
ProjectAdmin. - Aceda a Projetos e selecione um projeto.
- Clique no separador Scanner. O separador Leitor mostra o leitor atual em utilização para este projeto.
- Clique em Editar para selecionar um scanner diferente na lista de scanners que estão ligados a esta instância do Harbor e clique em OK.
- Clique no separador Repositórios e selecione um repositório.
- Para cada artefacto no repositório, a coluna Vulnerabilidades apresenta o estado da análise de vulnerabilidades e as informações relacionadas.
Selecione um artefacto ou use a caixa de verificação na parte superior para selecionar todos os artefactos no repositório e clique em Procurar para executar a procura de vulnerabilidades neste artefacto.
Passe o cursor do rato sobre o número de vulnerabilidades corrigíveis para ver um resumo do relatório de vulnerabilidades.
Clique no resumo do artefacto para ver um relatório de vulnerabilidade detalhado.
Para mais informações, consulte a documentação do Harbor: https://goharbor.io/docs/2.12.0/administration/vulnerability-scanning/scan-individual-artifact/.
Analise todos os artefactos no Harbor
Siga estes passos para analisar todos os artefactos na sua instância do Harbor:
- Inicie sessão na interface do Harbor com uma conta que tenha a função
ProjectAdmin. - No menu Administração, clique em Serviços de interrogatório.
Para realizar uma análise de todos os artefactos na sua instância do Harbor, selecione o separador Vulnerabilidade e clique em Analisar agora.
Para mais informações, consulte a documentação do Harbor: https://goharbor.io/docs/2.12.0/administration/vulnerability-scanning/scan-all-artifacts/.
Configure as definições de vulnerabilidade em projetos do Harbor
Integre a análise de vulnerabilidades no seu fluxo de trabalho do Harbor para gerir proativamente a segurança das suas aplicações em contentores e proteger a sua organização de potenciais ameaças. Configure os projetos para que as imagens com vulnerabilidades não possam ser executadas e para analisar automaticamente as imagens assim que forem enviadas para o projeto.
Siga estes passos para configurar as definições de vulnerabilidade de um projeto do Harbor:
- Inicie sessão na interface do Harbor com uma conta que tenha a função
ProjectAdmin. - Aceda a Projetos e selecione um projeto.
- Clique no separador Configuração.
- Para impedir a obtenção de imagens vulneráveis no projeto, selecione a caixa de verificação Impedir a execução de imagens vulneráveis.
Selecione o nível de gravidade das vulnerabilidades para impedir a execução de imagens.
Para ativar uma análise de vulnerabilidades imediata em novas imagens enviadas para o projeto, selecione a caixa de verificação Analisar automaticamente imagens no envio.
Para mais informações, consulte a documentação do Harbor: https://goharbor.io/docs/2.12.0/working-with-projects/project-configuration/.
O que se segue?
Depois de analisar os seus artefactos e configurar as definições de vulnerabilidade para proteger o seu ambiente, pode estabelecer regras automatizadas para limpar imagens de contentores obsoletas ou vulneráveis. Se já configurou regras de retenção, pode avançar com a implementação das suas cargas de trabalho seguras.