trivy operator

介紹

Trivy Operator 利用 Trivy 持續掃描 Kubernetes 叢集是否有安全性問題。這些掃描在安全性報告中匯總為 Kubernetes 自訂資源定義，可透過 Kubernetes API 進行存取。 Operator 透過觀察 Kubernetes 的狀態變化並自動觸發安全掃描作為回應來實現這一點。例如，建立新 Pod 時會啟動漏洞掃描。這樣，使用者就可以以Kubernetes-native方式尋找並檢視與不同資源相關的風險。

集群內安全掃描

Trivy Operator 會自動產生和更新安全性報告。這些報告是為了回應 Kubernetes 叢集上的新工作負載和其他變更而產生的，並產生以下報告：

• 漏洞掃描：對 Kubernetes 工作負載、控制平面和節點元件（api 伺服器、控制器管理器、kubelet 等）進行自動漏洞掃描

• ConfigAudit 掃描：使用預設規則或自訂開放式原則代理程式 (OPA) 原則對 Kubernetes 資源進行自動設定審核。

• 暴露的秘密掃描：自動秘密掃描，可尋找並詳細說明集群中暴露的秘密的位置。

• RBAC 掃描：基於角色的存取控制掃描提供有關已安裝的不同資源的存取權限的詳細資訊。

• K8s 核心元件基礎架構評估掃描 Kubernetes 基礎架構核心元件（etcd、apiserver、scheduler、controller-manager 等）設定與設定。

• k8s 過時的 api 驗證 - configaudit 檢查將驗證資源 api 是否已被棄用並計劃刪除

• 合規報告

• NSA、CISA Kubernetes 強化指南 v1.1 網路安全技術報告發布。

• 製作 CIS Kubernetes Benchmark v1.23 網路安全技術報告。

• Kubernetes pss-baseline，Pod 安全標準

• Kubernetes pss-restricted，Pod 安全標準

• 適用於 Kubernetes 工作負載的 SBOM（軟體物料清單產生）。

• 如果您希望我們繼續開發和改進 trivy-operator，請為該儲存庫加註星標！ ？

用法

官方文件提供了詳細的安裝、配置、故障排除和快速入門指南。

您可以使用靜態 YAML 清單安裝 Trivy-operator Operator，並按照入門指南查看如何自動產生漏洞和設定審核報告。

快速入門

Trivy Operator 可以透過 Helm Chart 輕鬆安裝。 Helm Chart 可以透過以下兩個選項之一下載：

選項 1：從傳統 Helm Chart 儲存庫安裝

新增 Aqua 圖表儲存庫：

   helm 倉庫新增 aqua https://aquasecurity.github.io/helm-charts/
   舵回購更新

安裝 Helm Chart：

   helm 安裝 trivy-operator aqua/trivy-operator
      --命名空間三重系統
      --建立命名空間
      --版本0.21.4

選項 2：從 OCI 註冊表安裝（Helm v3.8.0+ 支援）

安裝 Helm Chart：

   helm 安裝 trivy-operator oci://ghcr.io/aquasecurity/helm-charts/trivy-operator
      --命名空間三重系統
      --建立命名空間
      --版本0.21.4

這會將 Trivy Helm Chart 安裝到trivy-system命名空間並開始觸發掃描。

地位

儘管我們正在努力保持新版本向後相容於先前的版本，但該專案仍在孵化中，一些 API 和自訂資源定義可能會發生變化。

貢獻

在這個早期階段，我們希望收到您對 Trivy-Operator 整體概念的回饋。隨著時間的推移，我們希望看到整合不同安全工具的貢獻，以便使用者可以以標準的 Kubernetes 原生方式存取安全資訊。

• 有關設定開發環境以及我們期望的貢獻工作流程的信息，請參閱貢獻。

• 請確保您在與 Aqua 專案及其社群的任何互動過程中遵守我們的行為準則。

---

Trivy-Operator 是一個 Aqua Security 開源專案。
了解我們的開源工作和產品組合。
加入社區，並在 GitHub Discussions 或 Slack 中與我們討論任何問題。