Интеграция с внешними реестрами образов

Для осуществления интеграции с внешними реестрами образов учетной записи Kaspersky Container Security требуется обладать определенным набором прав, который различается в зависимости от типа реестра. Ниже для каждого типа реестра представлен перечень минимально достаточных для интеграции прав учетной записи.

GitLab

Для интеграции решения с реестром учетной записи пользователя GitLab требуется определить значения параметров следующим образом:

• Роль пользователя в проекте или группе: Репортер (Reporter).
• Уровень доступа к проекту: Репортер (Reporter).
• Права, назначенные токену пользователя: read_api, read_registry.

JFrog Artifactory

Для интеграции решения с реестром учетной записи пользователя JFrog требуется определить значения параметров следующим образом:

• Роль пользователя в проекте или группе: Управление отчетами (Manage Reports).
• Вариант доступа к проекту: Полномочия на обновление профиля (Can Update Profile).
• Права пользователя: право на чтение любого репозитория (репозиторий ANY).

Harbor

Для интеграции решения с реестром учетной записи пользователя Harbor требуется определить значения параметров следующим образом:

• Тип участия в проекте: пользователь. Для этого в столбце Тип участия (Member Type) таблицы в разделе Проекты → Участники требуется указать Пользователь (User).
• Роль пользователя в проекте или группе: пользователь с ограниченными правами. Для этого в столбце Роль (Role) таблицы в разделе Проекты → Участники требуется указать Гость (Guest).
• Права пользователя: пользователь без прав администратора. Для этого в столбце Администратор таблицы в разделе Пользователи (Users) требуется выбрать Нет (No).

Nexus

Для интеграции решения с реестром учетной записи пользователя Nexus требуется определить значения параметров следующим образом:

• Роль пользователя в проекте или группе: пользователь.
• Права, назначенные роли пользователя в проекте или группе: nx-apikey-all, nx-repository-view-docker-*-browse, nx-repository-view-docker-*-read.

Docker Hub

Интеграция решения с реестром учетной записи пользователя Docker Hub осуществляется после авторизации с использованием имени пользователя и пароля.

Этот вариант интеграции с реестром Docker Hub применяется только для личного пространства имен.

RedHat Quay

Для интеграции решения с реестром учетной записи пользователя RedHat Quay требуются следующие права:

• Права пользователя для правильной работы функции проверки соединения (англ. Test Connection): пользователь с правом администрирования (Administer Organization).
• Права на просмотр всех видимых репозиториев (View all visible repositories).
• Права на чтение и запись в доступных репозиториях (Read/Write to any accessible repositories).

Yandex

Для интеграции решения с реестром учетной записи пользователя Yandex требуется определить значения параметров следующим образом:

• Роль пользователя в проекте или группе: container-registry.viewer.
• Права, назначенные роли пользователя в проекте или группе: права на просмотр реестров в контейнере.

Amazon Elastic Container Registry

Для интеграции решения с реестром учетной записи пользователя Amazon Elastic Container Registry требуется определить значения параметров следующим образом:

• Политика AWS для доступа к проекту или группе: AmazonEC2ContainerRegistryReadOnly.
• Права, назначенные роли пользователя в проекте или группе: права на просмотр и чтение.

Сфера

Для интеграции решения с реестром учетной записи пользователя Сфера требуется определить значения параметров следующим образом:

• Роль пользователя в проекте или группе: пользователь.
• Права, назначенные роли пользователя в проекте или группе: права на просмотр и чтение всех репозиториев.

Azure Container Registry

Для интеграции решения с реестром учетной записи пользователя Azure Container Registry требуется определить значения параметров следующим образом:

• Роль пользователя в проекте или группе: роли пользователя назначается созданная принципал-служба Service Principal.
• Права, назначенные Service Principal: acrPull.

Google Artifact Registry

Для интеграции решения с реестром учетной записи пользователя Google Artifact Registry требуется определить значения параметров следующим образом:

• Роль пользователя в проекте или группе: роли пользователя назначается созданная учетная запись службы Service Account.
• Права, назначенные роли пользователя в проекте или группе: право на чтение артефактов в реестре (англ. Artifact Registry Read).

В версии 2.5 Kaspersky Container Security не работает с публичными реестрами образов без авторизации. Например, вы не можете осуществлять проверку образов с помощью решения при анонимном доступе в Docker Hub.

Без процедуры авторизации в публичных реестрах образов вы можете использовать такие реестры образов в кластере, добавлять в Kaspersky Container Security и вручную назначать определенной области применения. Если область применения включает в себя только один или несколько публичных реестров, в которых вы не авторизованы, и вы попытаетесь добавить образ в разделе Ресурсы → Реестры, решение отображает ошибку о невозможности добавления образов в связи с отсутствием интеграции с реестрами образов.

Kaspersky Container Security 2.5 осуществляет поддержку работы с удаленными и виртуальными репозиториями только при интеграциях с реестром JFrog Artifactory. Остальные интегрируемые реестры поддерживают исключительно локальные репозитории образов, непосредственно содержащие в себе образы.

Чтобы настроить интеграцию с внешним реестром:

1. В разделе Администрирование → Интеграции → Реестры образов нажмите на кнопку Добавить реестр.

   Откроется окно ввода параметров интеграции.

2. На вкладке Параметры реестра укажите параметры подключения к реестру:
   1. Введите название реестра.
   2. Если требуется, введите описание реестра.
   3. В раскрывающемся списке выберите одну или несколько областей применения, которые доступны роли пользователя. Если значение не указано, решение применяет установленную по умолчанию область применения.

      Если потребуется добавить какую-либо область применения после создания интеграции, необходимо добавить соответствующий реестр в область применения в разделе Администрирование → Управление доступом → Области применения.

   4. Выберите тип реестра из раскрывающегося списка поддерживаемых типов. Решение поддерживает следующие типы реестров:
      • Amazon Elastic Container Registry (интеграция с использованием Amazon Elastic Container Registry API).
      • Azure Container Registry (интеграция с использованием Azure Container Registry API).
      • Docker Hub (интеграция с использованием Docker Hub API).
      • Docker Registry (интеграция с использованием Docker Registry V2 API).
      • GitLab Registry (интеграция с использованием GitLab Container Registry API).
      • Google Artifact Registry (интеграция с использованием Google Artifact Registry API).
      • Harbor (интеграция с использованием Harbor V2 API).
      • JFrog Artifactory (интеграция с использованием JFrog API).
      • Red Hat Quay (интеграция с использованием Red Hat Quay API).
      • Сфера (англ. Sfera) (интеграция с использованием Сфера: Реестр API).

        Если вы настраиваете интеграцию с реестром Сфера, в раскрывающемся списке вам нужно выбрать тип реестра с указанием версии: Sfera v.1 или Sfera v.2.

      • Sonatype Nexus Repository OSS (интеграция с использованием Nexus API).
      • Yandex Registry (интеграция с использованием Yandex Container Registry API).

      Доступ к реестру Docker Registry с использованием Docker Registry V2 API можно получить, если вы настраиваете интеграцию с Sonatype Nexus Repository OSS, Harbor, JFrog Artifactory (с помощью порта или поддомена) или Yandex Registry. Интеграции с GitLab Registry, Docker Hub и JFrog Artifactory не поддерживаются.

   5. Если вы настраиваете интеграцию с реестром Sonatype Nexus Repository OSS, выберите режим выгрузки: Образы с тегами или Все образы. Если выбран режим Все образы, решение выгружает все образы реестра вне зависимости от наличия у них тегов. Образы без тегов отображаются по имени хеша сборки.
   6. Если вы настраиваете интеграцию с реестром типа JFrog Artifactory, Harbor, GitLab Registry, Sonatype Nexus Repository OSS, Docker Registry, Red Hat Quay, Azure Container Registry или Google Artifact Registry, введите полный веб-адрес (URL) реестра, который указывает непосредственно на реестр контейнеров. Рекомендуется использовать подключение по протоколу HTTPS (также поддерживается подключение по HTTP).

      При использовании HTTP или HTTPS c самостоятельно подписанным или недействительным сертификатом нужно установить метку --insecure-registry для движка Docker (Docker engine) на узлах, где установлен сервер и сканер.

   7. Если вы настраиваете интеграцию с реестром типа Сфера, укажите URL реестра или субрепозитория в реестре. Если вы вводите URL реестра, решению будут доступны все образы в этом реестре. Если вы вводите URL субрепозитория, решению будут доступны только образы указанного субрепозитория. URL реестра указывается в формате <реестр>, URL субрепозитория – в формате <реестр>/<субрепозиторий>.
   8. Если вы настраиваете интеграцию с реестром типа JFrog Artifactory, Harbor, GitLab Registry, Sonatype Nexus Repository OSS, Red Hat Quay или Сфера, введите полный веб-адрес (URL), который указывает на API реестра.
   9. Выберите метод аутентификации и укажите для него необходимые данные следующим образом:
      • Если вы настраиваете интеграцию с реестром типа GitLab Registry, выберите аутентификацию с помощью учетной записи или токена доступа.
      • Если вы настраиваете интеграцию с реестром типа Yandex Registry, аутентификация осуществляется с помощью ключа API или токена доступа. По умолчанию установлено значение Ключ API.

        При аутентификации с помощью ключа API укажите OAuth-токен Yandex.

        При аутентификации с помощью токена доступа в раскрывающемся списке Тип токена выберите OAuth или IAM и укажите значение выбранного токена.

        IAM-токен Yandex действителен в течение 12 часов.

      • Для реестров типа Sonatype Nexus Repository OSS и Docker Hub аутентификация возможна только с помощью учетной записи.
      • Для реестров типа Harbor аутентификация возможна только с помощью учетной записи пользователя или робота.
      • Для реестров типа Docker Registry аутентификация возможна только с помощью имени пользователя и пароля, значения которых предоставляются Docker V2 API.

        Если в качестве Docker Registry вы хотите подключить Yandex Registry, укажите следующие данные:

        • При подключении с помощью IAM-токена: имя пользователя – iam, пароль – <значение IAM-токена>.
        • При подключении с помощью OAuth-токена: имя пользователя – oauth, пароль – <значение OAuth-токена>.
      • Для реестров типа Red Hat Quay аутентификация возможна только с помощью названия организации и токена доступа. Укажите значения этих параметров в полях Название организации и OAuth-токен.
      • Для реестров типа Amazon Elastic Container Registry аутентификация возможна с помощью указания региона, идентификатора ключа доступа (англ. Access key ID) и секретного ключа доступа (англ. Secret access key).

        В поле Регион требуется указать один из принятых в Amazon Web Services регионов (например, us-west-2 или us-east-2).

        Для параметров Идентификатор ключа доступа и Ключ доступа необходимо указать значения, полученные с помощью консоли управления AWS.

      • Для реестров типа Сфера аутентификация возможна только с помощью имени пользователя и пароля.
      • Для реестров типа Azure Container Registry аутентификация возможна с помощью секрета или закрытого ключа и сертификата. По умолчанию выбрана аутентификация с помощью секрета.
      • Если вы настраиваете интеграцию с реестром типа Google Artifact Registry, аутентификация осуществляется с помощью файла учетной записи службы в формате JSON. Этот файл требуется самостоятельно сформировать в Google Cloud, а затем скопировать вставить его содержимое в поле Учетная запись службы.

        Для доступа к реестру учетной записи службы в Google Cloud у вас должна быть роль с правом чтения артефактов в реестре (англ. Artifact Registry Reader).

   10. Если вы настраиваете интеграцию с реестром типа Сфера, в поле Интервал кеширования (по Гринвичу) укажите временной интервал для кеширования этого реестра.
   11. Если вы настраиваете интеграцию с реестром типа Azure Container Registry, укажите идентификатор тенанта и идентификатор клиента.
3. Перейдите на вкладку Кеширование репозиториев и с помощью переключателя Выключено / Включено при необходимости включите кеширование репозиториев. Если кеширование выключено, репозитории и образы в разделе Реестры отображаются только при использовании поля Поиск. Если кеширование включено, решение отображает доступный список репозиториев и образов. По умолчанию кеширование репозиториев выключено.

   При включенном кешировании репозиториев эффективность работы Kaspersky Container Security может быть снижена.

   Для реестра типа Сфера вкладка Кеширование репозиториев неактивна, применимые параметры кеширования указываются на вкладке Параметры реестра.

4. Перейдите на вкладку Параметры сканирования образов и укажите следующие параметры сканирования образов:
   • Максимальное время сканирования образов из этого реестра в минутах. По умолчанию установлено значение 60 минут.

     Если сканирование образа продолжается дольше установленного времени, сканирование прекращается, и образ вновь помещается в очередь на сканирование. Решение будет отправлять этот образ на повторное сканирование максимум 3 раза. Соответственно, время сканирования образа из реестра может быть превышено в 3 раза.

     Параметры выгрузки и сканирования образов для реестра. По умолчанию в блоке Выгрузка и сканирование образов выбран вариант Вручную: образы автоматически не выгружаются из реестра, но пользователь может вручную добавлять образы в список образов, подлежащих сканированию. Новые образы автоматически ставятся в очередь на сканирование.

     Если вы хотите, чтобы образы выгружались из реестра и ставились в очередь на сканирование автоматически, в блоке Выгрузка и сканирование образов выберите вариант Автоматически и настройте параметры выгрузки и сканирования образов. Для настройки доступны следующие параметры:

     • Интервал сканирования (дн.) – периодичность выгрузки образов из реестра для сканирования в днях. По умолчанию установлено значение 1 день.
     • Время сканирования (по Гринвичу) – время осуществления сканирования образов из реестра.
     • При необходимости установите флажок для повторного сканирования ранее выгруженных образов при каждом сканировании новых образов.
     • При необходимости в блоке Расширенные настройки установите флажок Шаблоны имени/тега, чтобы с помощью шаблонов имен и/или тегов образов указать, какие образы нужно выгружать и сканировать. Если флажок установлен, Kaspersky Container Security будет выгружать для сканирования только те образы, которые соответствуют заданным шаблонам.

       Вы можете использовать шаблоны следующих форматов:

       • шаблон по имени и тегу образа – <имя><:тег>;
       • шаблон только по имени образа – <имя>;
       • шаблон только по тегу образа – <:тег>.

       Например:

       • по шаблону alpine будут выгружаться все образы с именем alpine, независимо от тега;
       • по шаблону :4 будут выгружаться все образы с тегом 4, независимо от имени образа;
       • по шаблону alpine:4 будут выгружаться все образы, с именем alpine и с тегом 4.

       При формировании шаблонов вы можете использовать символ *, который заменяет любое количество символов.

       Вы можете добавить один или несколько шаблонов.

     • Выберите один из вариантов дополнительных условий для выгрузки образов:
       • Если дополнительные условия не требуются, выберите вариант Без дополнительных условий.
       • Если необходимо выгружать только образы, созданные за определенный период, выберите этот вариант и в полях справа укажите длительность периода и единицу измерения. По умолчанию установлено 60 дней.
       • Если требуется выгружать только образы с последними тегами, считая от даты создания образа, выберите этот вариант и в поле справа укажите, сколько последних тегов из каждого репозитория требуется учитывать.

       При создании интеграции с реестром типа Docker Registry дополнительные условия для выгрузки образов настраивать не нужно, к такой интеграции всегда применяется вариант Без дополнительных условий. Поэтому решение не отображает блок параметров Дополнительные условия, если вы выбираете тип реестра Docker Registry.

     • При необходимости в блоке Исключения с помощью установки флажков определите исключения для выгрузки образов:
       • Никогда не выгружать образы с шаблоном имени/тега – вы можете указать с помощью шаблонов имен и/или тегов образов, какие образы исключаются из выгрузки и сканирования.
       • Всегда выгружать образы с шаблоном имени/тега – вы можете указать с помощью шаблонов имен и/или тегов образов, какие образы всегда выгружаются и сканируются, независимо от других условий, заданных выше.
5. Нажмите на кнопку Проверить соединение, чтобы посмотреть, устанавливается ли соединение с реестром.
6. Нажмите на кнопку Сохранить в верхней части окна, чтобы сохранить параметры интеграции с реестром.

Пример параметров интеграции с реестром Red Hat Quay

В разделе Администрирование → Интеграции → Реестры образов отображается таблица со списком всех реестров, интегрированных с Kaspersky Container Security.

В таблице отображаются следующие данные об интегрированных реестрах:

• Название интеграции с реестром образов.
• Описание, если оно указывалось при создании интеграции с реестром образов.
• Тип подключенного реестра.
• Веб-адрес реестра.
• Статус последнего соединения с реестром образов – Успешно или Ошибка. Если указывается Ошибка, решение также отображает краткое описание ошибки при соединении.

В таблице вы можете выполнять следующие действия:

• Добавлять новые интеграции с реестрами. Окно ввода параметров интеграции открывается с помощью кнопки Добавить реестр над таблицей.
• Просматривать и изменять параметры интеграции с реестром, в том числе параметры выгрузки и сканирования образов. Окно редактирования открывается по ссылке на названии реестра.

  Вы можете добавить области применения только при создании интеграции с реестром. Добавленные области применения можно изменить в разделе Администрирование → Управление доступом → Области применения.

  В этом окне с помощью кнопки Проверить соединение вы также можете посмотреть, устанавливается ли соединение с реестром.

• Удалять интеграции с реестром.

Чтобы удалить интеграцию с внешним реестром:

1. В разделе Администрирование → Интеграции → Реестры образов выберите интеграцию для удаления, установив флажок в строке с названием реестра. Вы можете выбрать одну или несколько интеграций.
2. Нажмите на кнопку Удалить, которая расположена над таблицей.

   Кнопка Удалить становится активной после выбора одной или нескольких интеграций.

3. Подтвердите удаление в открывшемся окне.

Kaspersky Container Security не сканирует образы из реестра, интеграция с которым удалена.

Интеграция Kaspersky Container Security с внешним реестром Harbor осуществляется двумя способами:

• аналогично стандартной интеграции с другими внешними реестрами;
• по запросу внешнего реестра Harbor.

Harbor рассматривает решение как дополнительный внешний сканер для проверки объектов на наличие в них уязвимостей. Интеграция с Kaspersky Container Security настраивается с помощью плагина интеграции со сканером для Harbor (Harbor scanner plugin). Решение присваивает такому автоматически созданному реестру образов название Harbor External Integration и отмечает репозиторий, в котором он находится, значком Harbor ().

Такая интеграция остается единственной автоматически созданной интеграцией с Harbor, а присвоенное реестру образов название невозможно изменить.

Для запуска процесса сканирования Harbor необходимо знать конечную точку API-интерфейса Kaspersky Container Security.

Для создания интеграции по запросу Harbor требуются права на управление внешними сканированиями. Если такие права отсутствуют, Harbor не сможет подключить решение в качестве сканера и проводить проверку объектов в рамках процесса CI/CD.

Для создания интеграции с реестром по запросу Harbor необходимо иметь учетную запись Harbor с правами администратора, а также права на просмотр и управление сканированием внешних объектов в Kaspersky Container Security. Если такие права отсутствуют, Harbor не сможет подключить решение в качестве сканера.

Чтобы создать интеграцию с Harbor по запросу Harbor:

1. В главном меню в левой панели в веб-интерфейсе Harbor выберите Administration → Interrogation Services.
2. Нажмите на кнопку New Scanner.
3. Введите следующую информацию:
   • Уникальное имя интеграции с решением для отображения в интерфейсе Harbor.
   • При необходимости, описание добавляемого внешнего сканера.
   • Адрес конечной точки API-интерфейса Kaspersky Container Security, который показывается Harbor.
4. В раскрывающемся списке Authorization выберите APIKey как способ авторизации при подключении реестра к решению.
5. В поле APIKey введите значение токена API.

   Если токен API меняется, необходимо указать его новое значение до запуска сканирования Harbor. Если новый токен API не будет добавлен в параметры внешнего сканера в Harbor, сканирование завершится с ошибкой.

6. Установите флажок Skip certificate verification, чтобы пропустить проверку сертификата.
7. При необходимости нажмите Test Connection, чтобы проверить, что Harbor может подключиться к решению.
8. Нажмите Add, чтобы создать интеграцию.

В списке доступных сканеров в разделе Administration → Interrogation Services → Scanners Harbor отображается имя, присвоенное решению в Harbor.

Новый сканер используется для сканирования объектов, если в Harbor он указан как сканер по умолчанию или назначен проекту. Оба варианта требуют дополнительной настройки в Harbor.

После запуска сканирования во внешнем реестре создается интеграция с решением по запросу Harbor. Kaspersky Container Security отображает созданный реестр Harbor External Integration в списке реестров образов в разделе Администрирование → Интеграции → Реестры образов. Репозиторий, в котором находятся образы из внешнего реестра, отмечен значком Harbor (). Harbor External Integration обновляется после запуска и проведения другого сканирования во внешнем реестре.

В автоматически созданный реестр образов из Harbor невозможно добавить образ с помощью кнопки Добавить образы в консоли управления.

Сканирование Harbor External Integration может инициироваться вручную или запускаться автоматически из внешнего реестра. Вы не можете запустить сканирование или повторное сканирование образов из автоматически созданного реестра образов из Harbor в Kaspersky Container Security.

Если у вас ожидается большой поток входящих запросов на сканирование от Harbor, мы рекомендуем настроить значение следующих параметров в конфигурации реестра:

• Для переменной jobservice нужно указать максимально допустимое количество подов, обрабатывающих задания на сканирование. Рекомендуется указать значение равное или превышающее количество подов модуля обработки заданий на сканирование (kcs-ih) в установленном экземпляре решения. Например,

  jobservice:

  max_job_workers: N1,

  где N1 – нужное количество подов.

• Для переменной trivy нужно указать период ожидания завершения сканирования. Например,

  trivy:

  timeout: N2,

  где N2 – значение периода ожидания сканирования (например, в часах). Мы рекомендуем сначала задать значение один час. Если для обработки заданий на сканирование указанного периода недостаточно, вам нужно увеличить период (с учетом имеющейся на подах kcs-ih очереди на сканирование).

Сканирование реестра Harbor External Integration (как и реестра, созданного в рамках стандартной интеграции с Harbor) осуществляется на основе параметров соответствующей политики сканирования.

По окончанию сканирования решение формирует отчет по уязвимостям, найденным при проверке выбранных объектов, и отправляет его в Harbor. Если отправка отчета занимает более пяти секунд (например, из-за качества сетевого подключения), в интерфейсе внешнего реестра отображается ошибка получения результатов сканирования.

Реестр образов Harbor External Integration отображается в списке реестров, интегрированных с Kaspersky Container Security, в разделе Администрирование → Интеграции → Реестры образов.

Чтобы изменить параметры Harbor External Integration:

1. Выберите реестр Harbor External Integration в списке реестров образов в разделе Администрирование → Интеграции → Реестры образов.
2. Укажите значения следующих доступных для изменения параметров:
   • Описание на вкладке Параметры реестра.
   • Максимальное время сканирования на вкладке Параметры сканирования образов.

   Вы не можете изменять другие параметры реестра Harbor External Integration.

3. Нажмите Сохранить.

После получения результатов сканирования объекты из реестра Harbor External Integration невозможно отправить на повторное сканирование из Kaspersky Container Security. Повторное сканирование можно инициировать только из Harbor.

Если вы создаете интеграцию с Harbor из Kaspersky Container Security и созданный реестр образов аналогичен Harbor External Integration, к повторному сканированию применяются следующие правила:

• Сканирование объектов в созданном в решении реестре не запускает повторное сканирование в Harbor External Integration.
• Сканирование объектов в Harbor External Integration не запускает повторное сканирование в созданном в решении реестре.