DEV Community
·
保护您的容器管道：使用AWS Inspector与GitHub Actions
💡
原文英文，约900词，阅读约需3分钟。
📝
内容提要
本文介绍了如何在容器部署管道中集成安全扫描，利用GitHub Actions和AWS Inspector在将Docker镜像推送到ECR之前进行漏洞扫描，以确保镜像符合安全标准。这种方法能够在构建过程中捕捉漏洞，并定期识别新漏洞，从而提升整体安全性。
🎯
关键要点
- 介绍了如何在容器部署管道中集成安全扫描。
- 使用GitHub Actions和AWS Inspector在将Docker镜像推送到ECR之前进行漏洞扫描。
- 容器化并不自动保证安全，容器可能存在基础镜像、依赖或应用代码中的漏洞。
- 示例仓库展示了构建、扫描和部署Docker容器的完整工作流程。
- 工作流程使用AWS Inspector的漏洞扫描GitHub Action进行全面的漏洞扫描。
- 可以配置不同严重性级别的漏洞阈值，以定义可接受的风险水平。
- 在部署之前捕捉漏洞，防止脆弱的容器被推送到注册表。
- 定期扫描可以识别新漏洞，确保安全性。
- 实施扫描工作流程显著改善整体安全态势。
- 工作流程处理完整的部署过程，提供安全容器部署的一体化解决方案。
- 扫描方法不能替代其他安全责任，如运行时安全问题和网络安全控制。
- 在实施解决方案之前，了解AWS Inspector的成本结构。
- 示例仓库提供详细的设置说明，包括OIDC认证和IAM角色配置。
- docker-ecr-github-action-inspector-scanner-example仓库提供生产就绪的解决方案，集成容器安全扫描。
❓
延伸问答
如何在容器部署管道中集成安全扫描？
可以通过使用GitHub Actions和AWS Inspector在将Docker镜像推送到ECR之前进行漏洞扫描来集成安全扫描。
AWS Inspector的漏洞扫描如何工作？
AWS Inspector通过GitHub Actions的漏洞扫描功能，对构建的Docker镜像进行全面的漏洞扫描，确保符合安全标准。
实施容器扫描有什么好处？
实施容器扫描可以在部署前捕捉漏洞、定期识别新漏洞，并显著改善整体安全态势。
如何配置漏洞阈值以定义可接受的风险水平？
可以在工作流程中设置不同严重性级别的漏洞阈值，例如设置关键漏洞和高漏洞的阈值为0，允许中等和低漏洞的数量。
容器扫描是否能替代其他安全措施？
不，容器扫描不能替代其他安全责任，如运行时安全问题和网络安全控制，仍需结合其他安全实践。
使用AWS Inspector进行容器扫描的成本是多少？
在悉尼地区，初次扫描每个镜像费用为$0.09，自动重扫费用为$0.01，按需扫描费用为$0.03。
➡️
