如何在 GCP 上使用 Cloud Build 在 CI/CD 腳本中包含 Container Registry 漏洞掃描

Question

有沒有辦法將容器注冊表漏洞掃描添加為使用 Cloud Build 執行 CI/CD 管道的 .yaml 腳本中的一個步驟。 如果嚴重性很關鍵或很高，那么這個想法將是不部署映像。

現在，在推送映像后，會在 Container Registry 上完成掃描，但這與 CI/CD 管道腳本無關。 我不知道該領域的最佳實踐是什么，特別是在具有嚴格安全規則的公司中。

Answer 1

我現在的快速瀏覽表明，這樣做的方法是在運行漏洞掃描的構建和注冊表推送步驟之后執行一個步驟。 現在，由於它處於 alpha 階段，CLI 沒有您需要的 get 請求，目前僅開發了 HTTP/Java & Go API。

由於這聽起來像是為了工作，而且它仍處於非常早期的預發布階段，我建議像Synk或Anchore這樣的東西會是更好的選擇，因為它們更適合生產。

Answer 2

現在GCP提供了“按需掃描”功能，可以從Cloud Build管道鏈接使用

目前，該工具需要 2-3 倍於 RAM 中的容器大小（Cloud Build 的最大值為 32 GB）。 我希望這會很快得到改善。 在這種情況下，我們可以使用 --remote 選項來掃描已經存儲在 Artifac Registry 中的容器

Answer 3

嗨，您找到任何 cloudbuild.yaml 腳本了嗎？