Google容器引擎：容器分析和第三方图像？

Question

我们使用kubernetes，并在启用了容器分析的GCR上托管我们自己的映像，以便在创建的映像中发现漏洞时得到通知并采取措施。

但是，还有一些直接从docker hub或其他存储库中使用的第三方映像。如何将这些内容合并到此安全扫描流程中？

我们只需在docker hub中拉取，标记和推送图像，即可在注册表中使用
• 镜像图像。这样，我们还可以限制只能运行此私有注册表中的图像，但这似乎有点维护麻烦？
• 使用clair和clair-scanner命令行之类的东西注册和扫描那些第三方资源。但这需要管理和维护技巧，所以＃1也许是更好的选择？

Answer 1

出于安全目的并控制一切，我认为第一种选择是更好的选择，因为您可以安全地扫描副本并管理图像。这也意味着您可以限制从群集中提取哪些存储库，以便仅使用您自己的受信任存储库。