如何使用GCP上的Cloud Build在CI / CD脚本中包含Container Registry漏洞扫描

Question

有没有一种方法可以添加容器注册表漏洞扫描，作为使用Cloud Build执行CI / CD管道的.yaml脚本中的步骤。想法是如果严重性为严重或较高，则不部署映像。

现在，在推送映像之后，将在Container Registry上完成扫描，但这与CI / CD管道脚本无关。我不知道这方面的最佳做法是什么，尤其是在具有严格安全规则的公司中。

Answer 1

我现在快速浏览一下，建议这样做的方法是在构建和注册表推送步骤之后执行运行漏洞扫描的步骤。目前，由于处于alpha状态，因此CLI并没有您需要的get请求，目前仅开发了HTTP / Java＆Go API。

这听起来像是在工作，而且仍处于发行前的很早的阶段，所以我建议Synk或Anchore之类的东西会是更好的选择，因为它们已经准备好投入生产了。

Answer 2

现在 GCP 提供了“按需扫描”功能，可以从 Cloud Build 管道 link

现在该工具需要 2-3 倍于 RAM 中的容器大小（Cloud Build 的最大值为 32 GB）。我希望这会很快得到改善。在这种情况下，我们可以使用 --remote 选项来扫描已经存储在 Artifac Registry 中的容器