[Topic 263612]

卡巴斯基容器安全 2.0 帮助

[Topic 292907]

关于卡巴斯基容器安全平台

卡巴斯基容器安全（以下称为“解决方案”）可发现安全问题，并为真个容器应用程序全生命周期（开发、部署控制至运行时）提供保护。

解决方案功能：

• 与镜像仓库（例如，Docker Hub、JFrog Artifactory、Sonatype Nexus Repository OSS、GitLab 仓库、Harbor）集成，扫描仓库中的镜像以查找 NVD 和 数据安全威胁数据库(FSTEC) 发布的已知漏洞、秘密（密码、访问密钥、令牌）、错误配置和恶意软件。
• 作为管道阶段集成入
  CI/CD

  持续集成/持续交付是开发流程中持续软件集成和持续交付的结合。

  持续集成/持续交付是开发流程中持续软件集成和持续交付的结合。

  流程，扫描
  IaC

  基础设施即代码是一种通过配置文件来管理和描述基础设施的方法，而不是通过手动方式编辑服务器配置。

  基础设施即代码是一种通过配置文件来管理和描述基础设施的方法，而不是通过手动方式编辑服务器配置。

  是否存在错误配置，以及扫描容器镜像是否存在漏洞、恶意软件和敏感数据（秘密）。
• 检查集群节点是否符合信息安全基准。
• 在构建和运行应用程序时监控已配置安全策略的合规情况，包括运行时中的容器启动控制。
• 监控受控集群使用的资源。

您可以通过管理控制台配置和访问卡巴斯基容器安全的功能。控制台以 Web 界面的形式实现，可通过 Chromium（Google Chrome、Microsoft Edge、Apple Safari）或者 Mozilla Firefox 浏览器访问。

[Topic 290867]

最新功能

卡巴斯基容器安全 2.0 提供以下新功能和改进：

• 集中调查 CI/CD 构件、镜像仓库和运行时中的漏洞。
• 增强了记录与网络流量（入站和出站）、文件操作、启动的进程和文件威胁防护防护相关的容器事件的功能。
• 对包含多达数千个节点的基础设施进行不间断监控。
• 与 HashiCorp Vault 外部机密存储集成：
  • 读取为卡巴斯基容器安全组件预先创建的 Secret。
  • 使用 Vault PKI 创建用于跨服务交互的 TLS 证书。
• 与安全信息与事件管理 (SIEM) 软件集成：
  • 在 UI 中配置与多种产品的集成。
  • 针对各种事件（管理、警报、CI/CD、策略、资源、扫描器、准入控制器、API）发送消息的参数规范。
  • 针对与与网络流量（入站和出站）、文件操作和启动进程相关的容器事件发送消息的参数规范。
• 生成 .JSON 和 .XML 格式的报告。
• 扫描基础架构以符合集群安全基准。
• 生成集群基准摘要报告。
• 改进了与 LDAP（绑定 DN 方案）的集成。
• 基于容器性能分析 (Autoprofiling) 的容器运行时配置文件生成。
• OpenAPI 的改进：
  • 获取核心健康检查的数据
  • 管理扫描器策略、保障策略、响应策略和运行时策略。
  • 运行时配置文件管理。
  • 获取系统事件日志。
  • 获取容器事件日志
  • 风险管理。
  • 自动分析任务管理。
  • 获取有关与镜像签名验证器集成的信息
• 支持与以下外部镜像仓库集成：
  • Amazon Elastic Container Registry
  • Red Hat Quay
• 在 CI/CD 进程中扫描 OCI 目录。

[Topic 292932]

分发包

有关购买应用程序的信息，请访问 https://www.kaspersky.com 或联系我们的合作伙伴。

分发包包括一个 Helm Chart 软件包，其中包含部署和安装卡巴斯基容器安全组件所需的容器化资源。下表列出了分发套件中的容器化组件。

卡巴斯基容器安全分发套件中的容器化组件

Helm 包还包括一个values.yaml配置文件，其中包含安装和更新解决方案的设置值。

下载并保存 Helm 包到选定目录后，编排器会将镜像从 Helm 包中指定的源直接下载到编排平台节点。

激活应用程序所需的信息将通过电子邮件发送给您。

[Topic 287165]

硬件和软件要求

要安装和运行卡巴斯基容器安全，必须满足以下基础设施要求：

• 以下编排器平台之一：
  • Kubernetes 1.21 或更高版本
  • OpenShift 4.8、4.11 或更高版本
  • DeckHouse 1.52 或 1.53 (CNI: Flannel)
  • DropApp 2.1
• 具备可在开发过程中扫描容器镜像的 CI 系统（如 GitLab CI）。
• 安装了包管理器 Helm 3.10.0 或更高版本。

要使用容器运行时配置文件实现运行时监控，编排器节点必须满足以下要求：

• Linux 内核 4.18 或更高版本。

  Linux内核 5.8 或更高版本使用了一些在 Linux 内核级别管理进程权限的机制。如果 Linux 内核版本低于 5.8，则在安装卡巴斯基容器安全时，必须禁用 kcs-ih 组件的这些进程权限管理机制列表，并将其设置为特权模式。
  设置特权模式的示例

  default:
kcs-ih:
privileged: true

• 容器运行时 (CRI)：containerd、CRI-O。
• 容器网络接口 (CNI) 插件：Flannel、Calico、Cilium。

架构要求：

卡巴斯基容器安全支持 x86 架构：

实现使用容器运行时配置文件进行运行时监控所需的 Linux 发行版和 Linux 内核的最低支持版本：

• CentOS 8.2.2004 或更新版本 + 内核 4.18.0-193 或更新版本
• Ubuntu 18.04.2 或更新版本 + 内核 4.18.0 或更新版本
• Debian 10 或更新版本 + 内核 4.19.0 或更新版本
• Astra Linux SE 1.7. * + 内核 6.1.50-1-generic

  如果使用 Astra Linux OS，内核配置必须具有 CONFIG_DEBUG_INFO_BTF=y 选项。

• RHEL 9.4 或更高版本 + 内核 5.14 或更高版本
• Red Hat Enterprise Linux CoreOS 416.94.202408200132-0 + kernel 5.14.0-427.33.1.el9_4.x86_64
• Sber Linux 8.9, 9.3 + kernel 5.14 (CNI: CRI-O, Calico, Cilium)

当使用 Cilium 1.16 时，您必须设置 enableTCX 为 false。

如果您的基础设施包含运行其他 Linux 发行版的主机服务器，我们建议联系技术支持。技术支持将检查解决方案与您的发行版的兼容性。如果不存在这种兼容性，则卡巴斯基容器安全的未来版本可能会支持这些发行版。

卡巴斯基容器安全可确保在 Istio 服务网格基础设施中使用时正确运行。

该解决方案支持与 Hashicorp Vault 1.7 或更高版本的集成。

使用外部数据库管理系统时，卡巴斯基容器安全支持以下 DBMS：

• PostgreSQL 11.*, 13.*, 14.*, 15.*
• Pangolin 6.2.0

卡巴斯基容器安全支持与以下镜像仓库的集成：

• GitLab 14.2 或更高版本
• Docker Hub V2 API
• JFrog Artifactory 7.55 或更高版本
• Sonatype Nexus Repository OSS 3.43 或更高版本
• Harbor 2.х
• Yandex Registry（使用 Yandex Container Registry API 进行集成）
• Docker Registry（使用 Docker V2 API 进行集成）
• Red Hat Quay 3.x

卡巴斯基容器安全同时支持 IPv4 和 IPv6 网络。

镜像要求（操作系统、版本、扫描的软件包）：

• AlmaLinux，版本 8、9。扫描通过 dnf/yum/rpm 安装的软件包。
• Alpine Linux，版本 2.2 - 2.7、3.0 - 3.20、Edge。扫描通过 apk 安装的软件包。
• Amazon Linux，版本 1、2、2023。扫描通过 dnf/yum/rpm 安装的软件包。
• Astra Linux SE，版本 1.6.x、1.7.x。扫描通过 apt/dpkg 安装的软件包。
• CBL-Mariner，版本 1.0、2.0。扫描通过 dnf/yum/rpm 安装的软件包。
• CentOS，版本 6、7、8。扫描通过 dnf/yum/rpm 安装的软件包。
• Chainguard，所有版本。扫描通过 apk 安装的软件包。
• Debian GNU/Linux，版本 7、8、9、10、11、12。扫描通过 apt/dpkg 安装的软件包。
• openSUSE Leap，版本 42、15。扫描通过 zypper/rpm 安装的软件包。
• openSUSE Tumbleweed，所有版本。扫描通过 zypper/rpm 安装的软件包。
• Oracle Linux，版本 5、6、7、8。扫描通过 dnf/yum/rpm 安装的软件包。
• Photon OS，版本 1.0、2.0、3.0、4.0。扫描通过 tdnf/yum/rpm 安装的软件包。
• Red Hat Enterprise Linux，版本 6、7、8。扫描通过 dnf/yum/rpm 安装的软件包。
• RedOS 版本 7.1、7.2、7.3.х、8.0。扫描通过 dnf/yum/rpm 安装的软件包。
• Rocky Linux，版本 8、9。扫描通过 dnf/yum/rpm 安装的软件包。
• SUSE Enterprise Linux，版本 11、12、15。扫描通过 zypper/rpm 安装的软件包。
• SUSE Linux Enterprise Micro，版本 5、6。扫描通过 zypper/rpm 安装的软件包。
• Ubuntu，Canonical 支持的所有版本。扫描通过 apt/dpkg 安装的软件包。
• Wolfi Linux，所有版本。扫描通过 apk 安装的软件包。
• 安装了具有 Conda 命令行工具的操作系统。通过 conda 安装的软件包得到扫描。

当在有三个工作节点、三个扫描器 Pod (kcs-ih) 和最大镜像扫描大小为 10 GB 的集群中配置卡巴斯基容器安全时，集群工作节点必须满足以下要求：

• 至少 10 个处理器核心
• 至少 18 GB 的 RAM
• 40 GB 可用磁盘空间
• 集群组件之间至少有 1 Gbps 的通信通道带宽

为了运行集群中的代理，必须为每个工作节点提供以下额外的计算资源：

• 2 个处理器核心
• 3 GB 的 RAM
• 15 GB 可用磁盘空间

您必须根据受监控节点的数量为 ClickHouse DBMS 分配可用磁盘空间。每个节点需要 1 GB 的可用磁盘空间用于 ClickHouse 持久卷。

上述要求仅适用于卡巴斯基容器安全部署；他们不考虑客户端资源上的其他负载。

卡巴斯基容器安全用户工作站要求：

• 在公共公司网络中部署时，可永久连接互联网。
• 可访问卡巴斯基容器安全管理控制台页面（需使用客户企业内部网络地址，在安装期间指定）。
• 带宽至少为 10 Mbit/s 的通信信道。
• 以下浏览器之一：
  • Google Chrome 版本 73 或更高版本。
  • Microsoft Edge 版本 79 或更高版本。
  • Mozilla Firefox 版本 63 或更高版本。
  • Apple Safari 版本 12.1 或更高版本。
  • Opera 版本 60 或更高版本。

[Topic 287063]

缩放

为了在扫描卡巴斯基容器安全镜像的传入卷时实现并保持最佳性能，您必须考虑解决方案支持的扫描 Pod 和集群节点的数量。

[Topic 287064]

缩放扫描 Pod 的数量

卡巴斯基容器安全支持缩放扫描 Pod 数量，以确保可以扫描传入的镜像量。您可以在解决方案运行时随时缩放扫描 Pod 数量。

添加扫描 Pod 时，系统资源有如下增加：

• 节点处理器的数量 – 增加 2。
• 节点上的 RAM 量 – 增加 4 GB。
• 节点硬盘驱动器上的可用磁盘空间量 – 增加 15 GB。

为扫描大于 10 GB 的镜像，对于每个扫描 Pod，每增加 1 GB，都必须按如下方式增加 kcs-ih 服务资源。

• 节点上的 RAM 量 – 增加 300 MB。
• 节点硬盘驱动器上的可用磁盘空间量 – 增加 1 GB。

在标准操作模式下，如果没有扫描镜像以查找配置文件中的错误，则无需增加扫描 Pod 上的 RAM。

为了更快地处理许多大型对象的扫描结果，您可以通过更新 Helm 包中的变量来为作业处理程序服务分配更多资源。

要添加更多扫描作业处理资源：

1. 打开 Helm 包，并在default部分的 scanWorkers 变量中为 kcs-middleware 参数指定所需的处理程序数量。
2. 在requests和limits变量中，指定根据以下公式确定的 RAM 大小：

   memory = X * scanWorkers / 2，其中

   memory是分配给镜像处理程序服务的 RAM 大小。

   X 是表示 RAM 大小的变量的原始值。

   scanWorkers 是步骤 1 中所指定的处理程序的数量。

   scanWorkers/2 的结果不能为零。

3. 在requests和limits变量中，指定根据以下公式计算的 CPU 资源：

   cpu = X*scanWorkers，其中

   cpu 是分配给镜像处理程序服务的 CPU 资源。

   X 是表示 CPU 资源的变量的原始值。

   scanWorkers 是步骤 1 中所指定的处理程序的数量。

添加更多扫描作业处理资源的示例

[Topic 295413]

缩放时考虑所服务的集群节点数量

卡巴斯基容器安全的一个实例支持最多 600 个受监控集群。每个集群的服务节点数量可通过更改以下组件来扩展：

• kcs-ab可增加或减少组件副本的数量。
• kcs-memcached可增加或减少组件的资源分配要求。

默认情况下，卡巴斯基容器安全附带为这些组件设置的以下值：

• kcs-ab:
  • 每个副本 1 个 pod，可为 2000 个节点提供服务。
  • 请求的资源量：节点 0.5 个 CPU 核心；节点 512 MB RAM。
  • 最大资源使用量：节点 1 个 CPU 核心；节点 1 GB RAM。
• kcs-memcached:
  • 请求的资源量：节点 2 个 CPU 核心；节点 2 GB RAM。
  • 最大资源使用量：节点 4 个 CPU 核心；节点 4 GB RAM。

卡巴斯基容器安全通过增加以下参数进行缩放：

• 对于 kcs-ab，向副本添加一个 Pod 会使支持的节点数量增加 2000 个。
• 对于 kcs-memcached，向 kcs-ab 组件添加一个 Pod 需要按以下数量增加 kcs-memcached 组件的请求资源和最大资源使用量：
  • 请求的资源量：节点 0.5 个 CPU 核心；节点 2 GB RAM。
  • 最大资源使用量：节点 0.5 个 CPU 核心；节点 2 GB RAM。

例如，如果卡巴斯基容器安全实例为用户集群中的 10,000 个节点提供服务，则适用以下参数：

• kcs-ab:
  • 每个副本有 5 个 Pod。
  • 请求的资源量：每个节点 0.5 个 CPU 核心；每个节点 512 MB RAM。
  • 最大资源使用量：节点 1 个 CPU 核心；节点 1 GB RAM。
• kcs-memcached:
  • 请求的资源量：节点 4 个 CPU 核心；节点 10 GB RAM。
  • 最大资源使用量：节点 6 个 CPU 核心；节点 12 GB RAM。

给出的值是近似值，因为部署需要考虑虚拟化设置的细节和给定基础设施中主机服务器（节点）的性能。

[Topic 265976]

基础镜像的系统软件包

卡巴斯基容器安全使用以下操作系统镜像作为基础镜像：

• Alpine 3.18.4。
• Ubuntu 23.10。
• Oracle Linux 9.2。

软件包管理系统（“软件包管理器”）用于管理各种软件组件的安装、删除、配置和更新。卡巴斯基容器安全对其基础操作系统中使用以下软件包管理器：

• 对于 Alpine，使用 apk。
• 对于 Ubuntu，使用 apt。
• 对于 Oracle Linux，使用 rpm。

要获取有关已安装的系统软件包的信息，

请使用标准编排器工具访问正在运行的容器，并（根据所使用的软件包管理器）输入以下 bash 命令：

• 对于 apk：

  apk -q list | grep "installed"

• 对于 apt：

  apt list --installed

• 对于 rpm：

  yum list installed

[Topic 283462]

扫描的应用软件包

卡巴斯基容器安全支持指定编程语言的以下扫描应用程序软件包：

• Ruby：
  • gemspec（镜像已扫描）。
  • Gemfile.lock（CI/CD 中的仓库已扫描）。
• Python：
  • egg 包、wheel 包、conda 包（镜像已扫描）。
  • Pipfile.lock、poetry.lock、requirements.txt（CI/CD 中的仓库已扫描 ）。
• PHP的：
  • installed.json（镜像已扫描）。
  • composer.lock（CI/CD 中的仓库已扫描）。
• Node.js：
  • package.json（镜像已扫描）。
  • package-lock.json、yarn.lock、pnpm-lock.yaml（CI/CD 中的仓库已扫描）。
• .NET：packages.lock.json、packages.config、.deps.json、Packages.props（CI/CD 中的镜像和仓库已扫描）。
• Java：
  • *.jar、*.war、*.par 和 *.ear（镜像已扫描）。
  • pom.xml、* gradle.lockfile、* .sbt.lock（CI/CD 中的仓库已扫描）。
• Go：
  • 二进制文件（镜像已扫描）。
  • go.mod（CI/CD 中的仓库已扫描）。
• Rust：
  • Cargo 检查的二进制文件（镜像已扫描）。
  • Cargo.lock（CI/CD 中的镜像和仓库已扫描）。
• C/C++: conan.lock（CI/CD 中的仓库已扫描）。
• Elixir: mix.lock（CI/CD 中的仓库已扫描）。
• Dart: pubspec.lock（CI/CD 中的仓库已扫描）。
• Swift: Podfile.lock、Package.resolved（CI/CD 中的仓库已扫描）。
• Julia：Manifest.toml（CI/CD 中的镜像和仓库已扫描）。

[Topic 295358]

在基于云的环境中运行

卡巴斯基容器安全可以在各种云环境中运行。要了解有关在云环境中启动解决方案的更多信息，请联系您的售前经理。

[Topic 292949]

解决方案架构

卡巴斯基容器安全组件根据分发套件中包含的镜像进行部署。下表显示哪些镜像对应于哪些解决方案组件。

卡巴斯基容器安全组件

解决方案包含以下主要组件：

• 卡巴斯基容器安全中间件
• 卡巴斯基容器安全代理
• 卡巴斯基容器安全扫描器

  

  卡巴斯基容器安全的整体架构方案

卡巴斯基容器安全可以部署在公共或专用公司网络中。

[Topic 274610]

Middleware

卡巴斯基容器安全中间件具有以下功能：

• 提供用于交互式管理解决方案的界面（管理控制台）。
• 确保与外部软件组件（SIEM、CI、镜像仓库、LDAP、Telegram、电子邮件）集成并接收来自它们的信息。
• 协调其他解决方案组件的运行。
• 确保安全策略的创建和管理。
• 显示解决方案操作的结果。

[Topic 295359]

代理

卡巴斯基容器安全代理（以下也称为“代理”）是一个作为容器化应用程序运行的解决方案组件，它根据配置的安全策略为节点提供安全保护，特别是：

• 节点上运行的容器的运行时安全性。
• 容器内 Pod 和应用程序之间的网络交互。
• 与编排平台的集成以及分析编排器配置及其组件所需的数据流。
• 从受信任的镜像启动容器，以防止未经验证的镜像运行。

代理将安装到集群的所有节点以及需要保护的所有集群。卡巴斯基容器安全使用两种类型的代理：集群保护代理 (csp-kube-agent) 和节点保护代理 (csp-node-agent)。它们一起组成代理组。对于每个集群，都创建单独的一组代理。可以为一个解决方案安装创建多组代理。

代理不会将其可执行代码注入受监控集群中的容器中。

如果集群不包含代理，则某些解决方案功能不可用（例如，运行时策略、资源监控）。

[Topic 254415]

扫描器

扫描器是卡巴斯基容器安全的一个软件组件，用于实时扫描对象以评估其安全性并检测已知漏洞、恶意软件、敏感数据迹象以及错误配置。扫描器允许您根据活动的安全策略执行安全检查。

卡巴斯基容器安全采用以下类型的扫描器：

• 基于公共漏洞和暴露 (CVE) 数据库的漏洞扫描器
• 文件威胁防护组件中的文件威胁扫描器
• 配置文件扫描器
• 敏感数据（秘密）扫描器

[Topic 271778]

关于对象扫描

卡巴斯基容器安全在扫描过程中会检查解决方案中部署的对象。扫描过程会搜索并分析与解决方案中的对象相关的威胁和安全风险。必须定期执行对象扫描以跟踪新出现的安全威胁。

在扫描时，卡巴斯基容器安全可识别以下安全威胁：

• 漏洞
• 恶意软件
• 错误配置
• 敏感数据
• 不符合安全策略要求

[Topic 274621]

扫描过程

扫描器通过镜像处理程序接收扫描作业。镜像处理程序是部署在卡巴斯基容器安全基础架构中的模块，它将扫描作业转发到扫描器并接收扫描器的扫描结果。

转发扫描作业后，扫描器的当前状态将确定为以下状态之一：

• 空闲 – 扫描器当前未处理对象，可以根据请求接受来自镜像处理程序的作业。
• 忙碌 – 扫描器当前正在处理扫描作业。来自镜像处理程序应用程序的新作业将放入队列。

扫描作业队列包含所有转发的扫描作业，在以下情况下生成：

• 手动启动镜像仓库扫描。
• 自动启动镜像仓库扫描。
• 开始批量扫描集群对象。

扫描队列中的作业会获得以下状态：

• 未运行 – 创建作业时默认指定的状态。
• 进行中 – 作业正在由镜像处理程序处理。
• 解析结果 – 解决方案处理作业扫描结果并将其显示在界面上。
• 错误 – 扫描作业失败。
• 已完成 – 扫描作业的结果可用。

队列中的扫描作业按照接收顺序提交给镜像处理程序。然后，扫描作业将发送至状态为“空闲”的扫描器，并进行扫描以检查是否存在安全问题。扫描结果将发送回镜像处理程序。如果收到扫描结果，则该扫描作业被视为已完成。如果扫描作业执行了三次或更多次但没有收到结果，则该扫描作业将被赋予“错误”状态。

扫描许多大型对象时，解决方案在用户界面上显示扫描结果的速度可能会较慢。您可能需要等待几分钟才能看到结果。在此期间，扫描作业将与解析结果状态一起显示在扫描器部分。

如果您希望加快扫描结果的处理速度，可以通过更新 Helm Chart 中的变量来为扫描作业处理程序服务分配更多资源（更多详细信息请参阅缩放）。

当发生错误时，解决方案会显示由代码和文本消息组成的错误消息（例如， HNDL-004: scan time out）。

错误信息以英文显示。下表列出了消息示例及其含义。

运行扫描作业时可能出现的错误消息示例

扫描后，解决方案将显示扫描结果。如果在对象中检测到安全威胁，卡巴斯基容器安全会提示您执行以下操作之一：

• 删除安全威胁。
• 接受风险。

[Topic 296006]

第三方应用程序密码要求

卡巴斯基容器安全使用特定的第三方服务运行。分发套件中包含以下解决方案组件：

• S3 兼容文件存储
• ClickHouse DBMS
• PostgreSQL DBMS
• 多线程基于事件的键值缓存存储 Memcached

这些组件的部署参数在 Helm Chart 包中的 values.yaml 配置文件中指定。

这些组件的密码有以下要求：

• 最短密码长度为 8 个字符。
• 密码不得包含以下特殊字符： '和" 。

密码在配置文件中的以下变量中指定：

• MINIO_ROOT_PASSWORD，适用于 S3 兼容文件存储
• CLICKHOUSE_PASSWORD 、CLICKHOUSE_WRITE_PASSWORD和 CLICKHOUSE_READ_PASSWORD，适用于 ClickHouse。
• POSTGRES_PASSWORD，适用于 PostgreSQL。
• MEMCACHED_PASSWORD，适用于 Memcached 缓存存储。

[Topic 273082]

标准部署方案

卡巴斯基容器安全支持以下部署场景：

• 在公共公司网络中部署（允许从 Kubernetes 集群访问互联网）：
  • 用于部署卡巴斯基容器安全组件的镜像位于公共存储库中。
  • 安装后，解决方案组件会引用互联网上的漏洞数据库。
  • 数据库使用卡巴斯基更新服务器进行更新，服务器可在互联网上找到。

  专用公司网络如果可以访问允许的服务器列表中的服务器，可以被视为公共公司网络。

• 在专用公司网络中部署（禁止从 Kubernetes 集群访问互联网）：
  • 内部存储库用于托管从中部署卡巴斯基容器安全组件的镜像。
  • 此外，安装了 组件 kcs-updates，这是一个特殊镜像，包含解决方案运行所需的漏洞数据库和安全基准。
  • 安装后，解决方案组件将引用在公司网络内特殊镜像 kcs-updates 中的漏洞数据库和安全标准。
  • 提供威胁数据库更新的更新服务器作为单独的组件部署在公司网络中。

专用公司网络还允许使用代理服务器进行部署。

我们不建议部署采用集群基础架构配置的解决方案，在这种配置中，主机服务器（节点）之间的网络交互在公共互联网上进行。如果采用该配置，集群内的网络交互可能会面临严重的网络安全风险。

[Topic 291328]

在公共公司网络中部署

在公共公司网络中部署时，卡巴斯基容器安全可以从集群访问互联网。解决方案数据库从包含漏洞和恶意软件数据库更新的外部数据库进行更新。

部署在公共公司网络时的解决方案架构

[Topic 291329]

在专用公司网络中部署

在专用公司网络中部署时，卡巴斯基容器安全被禁止从集群访问互联网。通过更新从 CI / CD 运行的扫描器的镜像以及镜像扫描器，解决方案数据库会进行更新。

部署在专用公司网络时的解决方案架构

[Topic 292927]

准备安装解决方案

在安装卡巴斯基容器安全之前，您必须安装公司网络所需的所有证书并配置代理服务器。

该解决方案可以部署在专用或公共公司网络中。

在安装卡巴斯基容器安全之前，请确保您拥有以下组件和访问权限：

• 能够访问互联网和集群的虚拟机或物理机。
• Helm 软件包管理器，用于在集群中打包、配置和部署应用程序及服务。

  卡巴斯基容器安全支持 Helm 3.10.0 或更高版本。

• 互联网访问权限，用于下载 Helm Chart 软件包。
• 编排器管理工具，例如 kubectl（适用于 Kubernetes）或 oc（适用于 Openshift）。
• 对使用 kubeconfig文件的集群的访问权限。

  要在专用公司网络中安装解决方案，请配置容器镜像存储库。该存储库使用解决方案供应商提供的凭据访问卡巴斯基容器安全供应商存储库。

[Topic 276636]

解决方案安装

卡巴斯基容器安全组件以镜像的方式在卡巴斯基容器安全制造商仓库中提供，并部署为容器。

卡巴斯基容器安全平台的安装包括以下步骤：

1. 安装基本业务逻辑模块和扫描器组件。
2. 首次启动管理控制台。
3. 配置受控集群节点上的代理组和代理部署。

安装后，应该准备好运行解决方案：

• 配置与镜像仓库的集成。
• 配置与输出的集成。
• 配置安全策略。
• 添加容器运行时配置文件。
• 配置文件威胁防护参数。
• 配置与镜像签名验证器的集成。
• 配置与 CI/CD 的集成。
• 配置用户账户、角色和范围。
• 配置与 LDAP 服务器的集成。

[Topic 292077]

安装基本业务逻辑模块和扫描器

在解决方案安装之前，必须检查准备的 Helm Chart 包中的数据完整性。

要检查数据完整性：

1. 下载包含准备好的 Helm Chart 包和哈希文件的压缩文件，然后前往此目录。
2. 运行命令：

   sha256sum -c kcs-2.0.0.tgz.sha

   如果显示以下消息，则确认数据完整性：

   kcs-2.0.0.tgz: OK

在开始安装（包括在 AWS EKS 或 Microsoft Azure 上）之前，请注意配置文件中 default 和 ingress.kcs 块中的 storageClass 和 ingressClass 设置。这些设置与集群相关，如有必要，可以根据您的基础设施进行更改。例如，以下变量用于 Azure：

default:
  storageClass: azurefile
  networkPolicies:
    ingressControllerNamespaces:
      - app-routing-system

ingress:
  kcs:
    ingressClass: webapprouting.kubernetes.azure.com

要安装卡巴斯基容器安全的基本业务逻辑模块和扫描程序，

准备好配置文件后，运行解决方案安装：

cd kcs/

helm upgrade --install kcs . \

--create-namespace \

--namespace kcs \

--values values.yaml \

--set default.domain="example.com" \

--set default.networkPolicies.ingressControllerNamespaces="{ingress-nginx}" \

--set secret.infracreds.envs.POSTGRES_USER="user" \

--set-string secret.infracreds.envs.POSTGRES_PASSWORD="pass" \

--set secret.infracreds.envs.MINIO_ROOT_USER="user" \

--set-string secret.infracreds.envs.MINIO_ROOT_PASSWORD="password" \

--set-string secret.infracreds.envs.CLICKHOUSE_ADMIN_PASSWORD="pass" \

--set secret.infracreds.envs.MCHD_USER="user" \

--set-string secret.infracreds.envs.MCHD_PASS="pass" \

--set pullSecret.kcs-pullsecret.username="user" \

--set-string pullSecret.kcs-pullsecret.password="pass"

安装后，解决方案组件即部署完成。

此外，在安装卡巴斯基容器安全中间件模块和扫描程序时，您可以配置密码、令牌和机密的安全传输。这是使用 HashiCorp Vault 存储实现的，您可以在 values.yaml 文件中配置它，并在启动 Helm Chart 包时进行部署。

安装完成后，有关解决方案安装命令的执行的记录会保留在命令 shell 中。您可以打开命令历史记录文件并删除该记录，或者阻止命令历史在安装之前记录在命令 shell 中。

控制面板将在环境变量部分的 envs 子部分中所指定的地址可用。这允许您为 API_URL 参数创建 ConfigMap 对象：

http://${DOMAIN}

[Topic 250380]

首次启动管理控制台

要启动卡巴斯基容器安全管理控制台：

1. 在浏览器中，导航到在安装服务器期间为管理控制台指定的地址。

   将打开授权页面。

2. 输入您的用户名和密码，然后单击“登录”按钮。

   在安装解决方案期间，用户名和密码被分配了相同的值 – admin。您可以在启动管理控制台后更改用户名和密码。

   3 次尝试输入密码失败后，用户将被暂时阻止访问。默认的阻止时间为 1 分钟。

3. 按照要求，更改用户账户的当前密码：输入新密码，确认，然后单击“更改”按钮。

   密码的要求如下：

   • 密码必须包含数字、特殊字符、大写和小写字母。
   • 最小密码长度为 6 个字符，最大密码长度为 72 个字符。

管理控制台的主页面将打开。

默认情况下，管理控制台中登录的用户会话为 9 小时。在“设置 → 身份验证”部分，您可以设置自己的会话持续时间，最小值为 1 小时，最大值为 168 小时。该时间到期后，控制台会话结束。

您可以在“设置 → 身份验证”部分更改连接设置。

[Topic 255780]

查看并接受最终用户授权许可协议

首次在浏览器中启动管理控制台时，卡巴斯基容器安全将提示您阅读您与卡巴斯基之间的最终用户授权许可协议。要继续使用解决方案，请确认您已完全阅读并接受卡巴斯基容器安全最终用户授权许可协议的条款。

要确认接受最终用户授权许可协议的条款，

在最终用户授权许可协议窗口的底部，单击“接受”按钮。

将为启动管理控制台打开授权页面。

安装新版本的解决方案后，需再次接受最终用户授权许可协议。

[Topic 266166]

检查解决方案功能

安装卡巴斯基容器安全并启动管理控制台后，您可以确保该解决方案能够检测安全问题并保护容器化对象。

要检查卡巴斯基容器安全的功能：

1. 使用激活码或密钥文件激活解决方案。
2. 配置与镜像仓库的集成。与单个仓库的集成足以检查功能。
3. 如有必要，配置解决方案安装后默认创建的扫描器策略的设置。
4. 添加要扫描的镜像并确保发送扫描任务进行处理。
5. 扫描完成后，转至包含镜像扫描结果详细信息的页面。

扫描镜像并收到有效结果，即确认卡巴斯基容器安全正常运行。此后，您可以进一步配置解决方案设置。

[Topic 294539]

代理部署

您应该在要保护的集群的所有节点上都安装代理。

每个集群上都安装单独的一组代理。

要在集群中部署代理：

1. 在主菜单中，转到“组件 → 代理”部分。
2. 在工作窗格中，单击“添加代理组”按钮。
3. 在常规选项卡上：
   1. 填写表单中的字段。
      • 输入组名称。为了方便代理管理，我们建议根据将在其节点上部署代理的集群来对代理组进行命名。
      • 如需要，请输入代理组的描述。
      • 选择要使用的编排器。
      • 指定命名空间名称。
   2. 在“KCS 仓库”部分中，输入用于安装代理的镜像所在仓库的网址。要访问仓库，必须指定正确的用户名和密码。
   3. 在链接的 SIEM下，从下拉列表中选择 SIEM 系统。

      要在卡巴斯基容器安全中链接代理组，您必须创建并配置至少一个与 SIEM 系统的集成。
      一个代理组只能与一个 SIEM 系统链接。

      对于每个 SIEM 系统集成，下拉列表指示连接状态 – 成功、警告或错误。

4. 在“节点监控”选项卡上，使用“禁用/启用”切换按钮开始监控和分析网络状态、容器内进程以及文件威胁防护的以下设置：
   • 网络连接监控。使用流量捕获设备（网络监视器）和 eBPF 模块监控网络连接的状态。此过程考虑适用的运行时策略和容器运行时配置文件。
   • 容器进程监控。基于适用的运行时策略规则和容器运行时配置文件规则，使用 eBPF 程序监控容器进程。
   • 文件威胁防护。要跟踪反恶意软件数据库更新，请指定以下值之一：
     • 反恶意软件数据库更新 URL：卡巴斯基容器安全更新服务的网址。
     • 反恶意软件数据库更新代理：云或本地更新服务器的 HTTP 代理。

     如果使用kcs-updates容器更新反恶意软件数据库，则必须如下指定数据库更新工具的 URL：<domain>/kuu/updates（例如，https://kcs.company.com/kuu/updates）。

     默认情况下，文件威胁防护数据库从卡巴斯基云服务器更新。

   • 文件操作。该解决方案根据适用的运行时策略和容器运行时配置文件，使用 eBPF 模块跟踪文件操作。

     无论运行时策略指定何种模式，文件操作仅支持审计模式。如果在适用的运行时策略中指定了强制模式，则文件操作将以审核模式执行。

   可以禁用不需要的监控步骤，以避免节点上不必要的负载。

5. 单击“保存”。

在工作区中， 部署数据选项卡显示在集群上部署代理所需的以下数据：

• 自动生成的部署令牌是代理用于连接服务器的标识符。您可以通过单击部署令牌字段旁边的复制图标 () 来复制令牌。
• 在集群上部署代理的说明。您可以通过单击复制图标 (）从配置字段复制说明，或者将说明下载为 .YAML 格式的文件。

  您可以按照此说明在集群上部署代理。例如：

  kubectl apply -f <文件> -n <命名空间>

  应用指令后，代理将被部署到集群的所有工作节点上。

如果您更改以下参数，解决方案将自动更新代理部署说明：

• 解决方案的 TLS 证书
• 用于下载 kube-agent 和 node-agent 镜像的 URL、用户名和密码
• 链接的 SIEM 系统
• 节点监控部分中的设置

您必须再次复制或下载 .YAML 文件中的更新说明，然后使用 kubectl apply -f < file > -n <namespace > 命令应用它。否则，这些参数的更改不会应用于已部署的代理。

[Topic 283087]

查看和编辑代理组

“组件 → 代理”下方的表格将显示已创建和部署的代理组。为每个组提供以下信息：

• 代理组的名称
• 组内已连接的代理数量
• 编排器
• 启用节点监控活动
• 链接的 SIEM

您可以使用表格上方的按钮，按照连接状态（“全部”、“已连接”、“已断开连接”、“未运行”）过滤代理组。

单击部署图标 ()，可以展开表格中的每个代理组，以查看以下代理详情：

• 代理的名称及其连接状态。
• 部署代理的节点的版本（主节点或工作节点）。
• 与代理关联的 Pod 的名称。
• 节点监控操作（容器进程、网络连接、文件威胁防护和文件操作）。
• SIEM 状态。
• 代理上次连接的日期和时间。

通过单击代理名称链接，您可以展开侧边栏来查看代理状态信息。

编辑代理组设置：

1. 在“组件 → 代理”下包含代理组列表的表格中，单击代理组名称中的链接。
2. 在打开的窗口中，编辑组设置。
3. 单击“保存”。

[Topic 293087]

配置代理服务器

在版本 2.0 中，卡巴斯基容器安全可以将请求从专用公司网络代理到外部环境。通过代理服务器进行连接的设置是使用解决方案分发包中包含的 Helm Chart 软件包的以下环境变量进行配置的：

• HTTP_PROXY – 用于 HTTP 请求的代理服务器。
• HTTPS_PROXY – 用于 HTTPS 请求的代理服务器。
• NO_PROXY – 指定要从代理范围排除的域或域掩码的变量。

  如果使用 HTTP_PROXY 或 HTTPS_PROXY，则在 Helm Chart 包中会自动生成 NO_PROXY 变量，Kaspersky Container Security 使用的所有组件都会在此变量中指明。

  如果您需要为卡巴斯基容器安全的操作指定域和掩码以将其排除在代理之外，则可以更改 NO_PROXY 变​​量。

• SCANNER_PROXY – 用于指定代理服务器的专用变量，指定哪个服务器接收来自文件威胁防护组件扫描器的请求。卡巴斯基服务器使用这些请求来更新数据库。
• LICENSE_PROXY – 用于指定代理服务器的专用变量，kcs-licenses 模块通过该服务器将请求发送到卡巴斯基服务器，以检查和更新有关当前授权许可的信息。

根据您的代理服务器支持的域名掩码，您必须使用以下掩码在允许的代理服务器列表中指定卡巴斯基服务器：*.kaspersky.com 或 .kaspersky.com、*.kaspersky-labs.com 或 .kaspersky-labs.com。要访问这些代理服务器，必须打开端口 80。

您可以使用 IP 地址或 FQDN 在代理服务器参数中指定端口。

特殊字符必须使用转义符。

下表列出了可以使用环境变量的卡巴斯基容器安全组件，并指示了这些环境变量的用途。

卡巴斯基容器安全组件使用的环境变量

您可以使用代理服务器配置代理的运行，代理服务器将把请求传递到卡巴斯基容器安全的安装地址。

要使用代理服务器配置代理的运行：

1. 在“组件 → 代理”下包含代理组列表的表格中，单击代理组名称中的链接。
2. 在打开的窗口中，转到节点监控选项卡并执行以下操作：
   • 确保使用禁用/启用切换开关启用文件威胁防护组件。
   • 在文件威胁防护部分中，在反恶意软件数据库更新代理中指定代理服务器。
   • 单击“保存”。
3. 点击部署数据选项卡。
4. 再次在 .YAML 文件中复制或下载更新代理部署说明，然后使用kubectl apply -f <file> -n <namespace>命令应用它。
5. 在代理的“部署和 DaemonSet” 对象中配置 HTTP_PROXY、HTTPS_PROXY 或 NO_PROXY 环境变量。

[Topic 298985]

连接到外部数据存储资源

除了分发包中包含的卡巴斯基容器安全组件外，该解决方案还可以与以下外部数据存储资源配合使用：

• PostgreSQL 数据库
• ClickHouse DBMS
• 兼容 S3 的 MinIO 文件存储

通过 values.yaml 配置文件来配置与外部数据存储资源连接的设置。

[Topic 292954]

为外部 PostgreSQL 数据库创建用户

对于卡巴斯基容器安全，您可以使用解决方案中包含的 PostgreSQL 数据库或您自己的 PostgreSQL 数据库。要安装不适用于卡巴斯基容器安全模式的外部 PostgreSQL 数据库，您必须创建单独的用户。您可以通过安装带有为外部 PostgreSQL 数据库指定的模式参数的 Helm Chart 包来执行此操作。

要为外部 PostgreSQL 数据库创建具有自定义模式的用户：

1. 运行以下命令为外部 PostgreSQL 数据库创建单独的命名空间：

   kubectl create ns kcspg

   其中kcspg是外部 PostgreSQL 数据库的命名空间。

2. 要部署外部 PostgreSQL 数据库：
   1. 在 pg.yaml 配置文件中指定部署外部 PostgreSQL 数据库的参数。

      用于部署外部 PostgreSQL 数据库的参数

      apiVersion: apps/v1

      kind: Deployment

      metadata:

      annotations:

      deployment.kubernetes.io/revision: "1"

      labels:

      app: postgres

      component: postgres

      name: postgres

      namespace: kcspg

      spec:

      replicas: 1

      selector:

      matchLabels:

      app: postgres

      component: postgres

      strategy:

      type: Recreate

      template:

      metadata:

      creationTimestamp: null

      labels:

      app: postgres

      component: postgres

      spec:

      containers:

      - name: postgres

      image: postgres:13-alpine

      ports:

      - containerPort: 5432

      env:

      - name: POSTGRES_DB

      value: api

      - name: POSTGRES_USER

      value: postgres

      - name: POSTGRES_PASSWORD

      value: postgres

      volumeMounts:

      - mountPath: "/var/lib/postgresql/data"

      name: "pgdata"

      imagePullSecrets:

      - name: ci-creds

      volumes:

      - hostPath:

      path: "/home/docker/pgdata"

      name: pgdata

      该参数指定数据库的密码。然后，您必须在 values.yaml 配置文件的infraconfig部分中指定此密码，该文件是解决方案分发套件中包含的Helm Chart 包的一部分。

   2. 运行以下命令：

      kubectl apply -f pg.yaml -n kcspg

   该外部数据库的名称格式如下：

   pod_name >.命名空间名称>.服务>.cluster.local

   例如，postgres.kcspg.svc.cluster.local

3. 要在集群中部署服务对象：
   1. 在 svc.yaml 配置文件中指定服务对象部署参数。

      用于在集群中部署服务对象的参数

      apiVersion: v1

      kind: Service

      metadata:

      name: postgres

      spec:

      type: ClusterIP

      selector:

      component: postgres

      ports:

      - port: 5432

      targetPort: 5432

   2. 运行以下命令：

      kubectl apply -f svc.yaml -n kcspg

4. 要创建用户、模式和用户-模式关系：
   1. 使用步骤 2b 中展开的 postgres 元素，登录到Pod。
   2. 启动 psql 交互式终端：

      psql -h localhost -U postgres -d api

   3. 运行以下命令：

      CREATE ROLE kks LOGIN PASSWORD 'kks' NOINHERIT CREATEDB;

      CREATE SCHEMA kks AUTHORIZATION kks;

      GRANT USAGE ON SCHEMA kks TO PUBLIC;

5. 在 values.yaml 配置文件中，指定使用外部 PostgreSQL 数据库所需的参数。

   values.yaml 文件中的参数

   default:

   postgresql:

   external: true

   configmap:

   infraconfig:

   type: fromEnvs

   envs:

   POSTGRES_HOST: postgres.kcspg.svc.cluster.local

   POSTGRES_PORT: 5432

   POSTGRES_DB_NAME: api

   secret:

   infracreds:

   type: fromEnvs

   envs:

   POSTGRES_USER: kks

   POSTGRES_PASSWORD: kks

   values.yaml中指定的参数值必须与 pg.yaml 和svc.yaml 配置文件中对应参数的值匹配。

6. 开始解决方案更新。

   使用外部 PostgreSQL 数据库创建用户的命令示例

   export KUBECONFIG=/root/.kube/config

   export CHART_URL=repo.kcs.kaspersky.com

   export CHART_USERNAME=<CHART_USERNAME>

   export CHART_PASSWORD=<CHART_PASSWORD>

   export VERSION=2.0.0

   export KCS_HOSTNAME=kcs.apps.aws.ext.company.com

   export IMAGE_URL=company.gitlab.examplecloud.com:5050

   export IMAGE_USERNAME=<repo_user>

   export IMAGE_PASSWORD=<repo_pass>

   cd /tmp

   helm registry login --username $IMAGE_USERNAME --password $IMAGE_PASSWORD company.gitlab.examplecloud.com:5050/company/kcs/chart

   helm pull oci://company.gitlab.examplecloud.com:5050/company/kcs/chart/kcs --version $VERSION

   tar -xf kcs*.tgz -C /tmp

   cp -rf /tmp/values.yaml /tmp/kcs

   cd /tmp/kcs

   helm upgrade --install kcs-release --create-namespace --namespace kcs --values values.yaml --version $VERSION --timeout 30m --wait --debug .

[Topic 298717]

使用外部 ClickHouse DBMS

除了作为卡巴斯基容器安全组件并包含在分发包中的 ClickHouse DBMS 之外，该解决方案还可以使用外部 ClickHouse DBMS 的资源。为此，您必须执行以下操作：

• 为卡巴斯基容器安全创建数据库，添加并配置用户，以及定义磁盘策略（如果使用不同的磁盘分别进行长期和短期数据存储）。
• 在 values.yaml 配置文件中为外部 ClickHouse DBMS 指定所需变量。

[Topic 298742]

为卡巴斯基容器安全创建数据库

要为卡巴斯基容器安全创建数据库：

在工作站上的 ClickHouse 中，运行以下命令：

CREATE DATABASE IF NOT EXISTS kcs

其中 kcs 是卡巴斯基容器安全数据库的名称。

要配置为卡巴斯基容器安全所创建的数据库的设置：

1. 添加用户并定义他们的授权方法。为此，您必须执行以下操作：
   1. 添加以下用户：
      • 有权读取卡巴斯基容器安全核心所接收数据的用户（读取者）。

        <roles>

        <kcs_reader_role>

        <grants>

        <query>GRANT SELECT ON kcs.*</query>

        </grants>

        </kcs_reader_role>

      • 有权写入来自外部代理请求的数据的用户（写入者）。

        <roles>

        <kcs_writer_role>

        <grants>

        <query>GRANT CREATE TABLE, INSERT, ALTER, UPDATE ON kcs.*</query>

        <query>GRANT SELECT (source_ip, source_port, source_alias, dest_ip, dest_port, dest_alias, protocol, severity, action, event_time, count, type) ON kcs.node_agent_events</query>

        </grants>

        </kcs_writer_role>

   2. 指定用户授权方法：使用密码或证书。

      配置密码认证用户的示例

      <clickhouse>

      ...

      <kcsuser-write>

      <password>*********</password>

      <networks>

      <ip>::/0</ip>

      </networks>

      ...

      <grants>

      <query>GRANT kcs_writer_role</query>

      </grants>

      </kcsuser-write>

      <kcsuser-read>

      <password>*********</password>

      <networks>

      <ip>::/0</ip>

      </networks>

      ...

      <grants>

      <query>GRANT kcs_reader_role</query>

      </grants>

      </kcsuser-read>

      ...

      <roles>

      <kcs_reader_role>

      <grants>

      <query>GRANT SELECT ON kcs.*</query>

      </grants>

      </kcs_reader_role>

      <kcs_writer_role>

      <grants>

      <query>GRANT CREATE TABLE, INSERT, ALTER, UPDATE ON kcs.*</query>

      <query>GRANT SELECT (source_ip, source_port, source_alias, dest_ip, dest_port, dest_alias, protocol, severity, action, event_time, count, type) ON kcs.node_agent_events</query>

      </grants>

      </kcs_writer_role>

      ...

      </roles>

      ...

      </clickhouse>

      配置证书认证用户的示例

      <clickhouse>

      ...

      <kcsuser-write>

      <ssl_certificates>

      <common_name>kcsuser-write</common_name>

      </ssl_certificates>

      <networks>

      <ip>::/0</ip>

      </networks>

      ...

      <grants>

      <query>GRANT kcs_writer_role</query>

      </grants>

      </kcsuser-write>

      <kcsuser-read>

      <ssl_certificates>

      <common_name>kcsuser-read</common_name>

      </ssl_certificates>

      <networks>

      <ip>::/0</ip>

      </networks>

      ...

      <grants>

      <query>GRANT kcs_reader_role</query>

      </grants>

      </kcsuser-read>

      ...

      <roles>

      <kcs_reader_role>

      <grants>

      <query>GRANT SELECT ON kcs.*</query>

      </grants>

      </kcs_reader_role>

      <kcs_writer_role>

      <grants>

      <query>GRANT CREATE TABLE, INSERT, ALTER, UPDATE ON kcs.*</query>

      <query>GRANT SELECT (source_ip, source_port, source_alias, dest_ip, dest_port, dest_alias, protocol, severity, action, event_time, count, type) ON kcs.node_agent_events</query>

      </grants>

      </kcs_writer_role>

      ...

      </roles>

      ...

      </clickhouse>

2. 指定用于短期和长期数据存储的磁盘。与 ClickHouse 配合使用时，卡巴斯基容器安全可以存储具备不同保留期的大量数据。默认情况下，事件的主要部分最多存储 30 分钟，而事故相关信息最多存储 90 天。由于事件记录需要大量资源来确保较高的记录速度和足够的磁盘空间，因此推荐使用不同的磁盘来分别进行短期和长期数据存储。

   配置数据存储设置的示例

   <clickhouse>

   ...

   <storage_configuration>

   <disks>

   <kcs_disk_hot>

   <path>/etc/clickhouse/hot/</path>

   </kcs_disk_hot>

   <kcs_disk_cold>

   <path>/etc/clickhouse/cold/</path>

   </kcs_disk_cold>

   </disks>

   <policies>

   <kcs_default>

   <volumes>

   <default>

   <disk>kcs_disk_hot</disk>

   </default>

   <cold>

   <disk>kcs_disk_cold</disk>

   </cold>

   </volumes>

   </kcs_default>

   </policies>

   </storage_configuration>

   ...

   </clickhouse>

[Topic 298743]

配置外部 ClickHouse DBMS 设置

要配置卡巴斯基容器安全设置以使用外部 ClickHouse DBMS：

1. 在 values.yaml 配置文件中，指定该解决方案使用外部 ClickHouse DBMS：

   default:

   kcs-clickhouse:

   external: true

2. 指定使用外部 ClickHouse DBMS 所需的变量：

   configmap:

   infraconfig:

   type: fromEnvs

   envs:

   ...<使用外部 ClickHouse DBMS 所需的变量>

   在本部分中，您必须指定以下变量：

   • EXT_CLICKHOUSE_PROTOCOL 是用于连接外部 ClickHouse DBMS 的协议。
   • EXT_CLICKHOUSE_HOST 是用于连接外部 ClickHouse DBMS 的主机。
   • EXT_CLICKHOUSE_PORT 是用于连接外部 ClickHouse DBMS 的端口。
   • EXT_CLICKHOUSE_DB_NAME 是准备与卡巴斯基容器安全配合使用的数据库的名称。
   • EXT_CLICKHOUSE_COLD_STORAGE_NAME 是磁盘的名称，ClickHouse 将在该磁盘上长期存储事故相关数据。
   • EXT_CLICKHOUSE_STORAGE_POLICY_NAME 是数据存储策略的名称，ClickHouse 将根据该策略将事故相关数据传输到磁盘进行长期存储。

     如果您使用同一个磁盘进行短期和长期数据存储，则无需指定 EXT_CLICKHOUSE_COLD_STORAGE_NAME 和 EXT_CLICKHOUSE_STORAGE_POLICY_NAME 的值。

   • EXT_CLICKHOUSE_SSL_AUTH 是 ClickHouse 用户进行 SSL 授权所需的变量。如果指定值为“true”，则使用客户端证书无需密码即可进行授权。

     如果 TLS_INTERNAL 为“false”，则 EXT_CLICKHOUSE_SSL_AUTH 也必须为“false”。

   • EXT_CLICKHOUSE_ROOT_CA_PATH 是 CA 证书的路径，如果使用 https 协议连接 ClickHouse (EXT_CLICKHOUSE_PROTOCOL: https)，则需要指定该路径。您可以通过下列其中一种方式指定路径：
     • 将 ClickHouse CA 证书放置在路径所指定的目录中。在这种情况下，您必须取消 secret.cert-kcs-clickhouse-ca 块的注释。
     • 使用 Vault 以存储证书数据。在这种情况下，您必须取消 vault.certificate 部分中 cert-kcs-clickhouse-ca 块的注释。
3. 指定使用外部 ClickHouse DBMS 所需的 secret 值：

   configmap:

   secret:

   infracreds:

   type: fromEnvs

   envs:

   ...<使用外部 ClickHouse DBMS 所需的 secret>

   在本部分中，您必须指定以下变量：

   • EXT_CLICKHOUSE_WRITE_USER 是为与卡巴斯基容器安全配合使用而创建的具有写入权限的用户的名称。
   • CLICKHOUSE_WRITE_PASSWORD 是为与卡巴斯基容器安全配合使用而创建的具有写入权限的用户的密码。
   • EXT_CLICKHOUSE_READ_USER 是为与卡巴斯基容器安全配合使用而准备的具有读取权限的用户的名称。
   • CLICKHOUSE_READ_PASSWORD 是为与卡巴斯基容器安全配合使用而创建的具有读取权限的用户的密码。

     如果 EXT_CLICKHOUSE_SSL_AUTH 设置为“true”，则不使用 CLICKHOUSE_READ_PASSWORD 和 CLICKHOUSE_WRITE_PASSWORD。

   还可以使用 Vault secret 存储来指定用户名和密码。

   配置外部 ClickHouse DBMS 设置的示例

   kcs-clickhouse:

   external: true

   persistent: true

   ...

   configmap:

   infraconfig:

   type: fromEnvs

   envs:

   ...

   EXT_CLICKHOUSE_PROTOCOL: https

   EXT_CLICKHOUSE_HOST: clickhouse.ns.svc.cluster.local

   EXT_CLICKHOUSE_PORT: 8443

   EXT_CLICKHOUSE_DB_NAME: kcs

   EXT_CLICKHOUSE_COLD_STORAGE_NAME: cold

   EXT_CLICKHOUSE_STORAGE_POLICY_NAME: kcs_default

   EXT_CLICKHOUSE_SSL_AUTH: false

   EXT_CLICKHOUSE_ROOT_CA_PATH: /etc/ssl/certs/kcs-clickhouse-ca.crt

   ...

   secret:

   ...

   infracreds:

   type: fromEnvs

   envs:

   ...

   EXT_CLICKHOUSE_WRITE_USER: kcsuser-write

   EXT_CLICKHOUSE_READ_USER: kcsuser-read

   CLICKHOUSE_WRITE_PASSWORD: **************

   CLICKHOUSE_READ_PASSWORD: ***********

   ...

   使用 Vault 时：

   vault:

   ...

   secret:

   type: managedByVault

   ...

   EXT_CLICKHOUSE_WRITE_USER: kv/secret/kcs/clickhouse@EXT_CLICKHOUSE_WRITE_USER

   EXT_CLICKHOUSE_READ_USER: kv/secret/kcs/clickhouse@EXT_CLICKHOUSE_READ_USER

   CLICKHOUSE_WRITE_PASSWORD: kv/secret/kcs/clickhouse@CLICKHOUSE_WRITE_PASSWORD

   CLICKHOUSE_READ_PASSWORD: kv/secret/kcs/clickhouse@CLICKHOUSE_READ_PASSWORD

   ...

[Topic 298749]

配置 MinIO 外部存储设置

要配置卡巴斯基容器安全设置以使用外部兼容 S3 的 MinIO 文件存储：

1. 在 values.yaml 配置文件中，指定该解决方案使用外部 MinIO 文件存储：

   default:

   kcs-s3:

   external: true

2. 指定使用 MinIO 所需的变量值：

   configmap:

   infraconfig:

   type: fromEnvs

   envs:

   ... 使用外部 MinIO 文件存储所需的变量 >

   在本部分中，您必须指定以下变量：

   • MINIO_HOST 是连接 MinIO 的主机。
   • MINIO_PORT 是连接 MinIO 的端口。
   • MINIO_BUCKET_NAME 是 MinIO 中为卡巴斯基容器安全数据分配的存储容器的名称。
   • MINIO_SSL 是用于与 MinIO 建立 ssl 连接所需的变量（包括使用 https 协议）。

     如果 TLS_INTERNAL 为“false”，则 MINIO_SSL 必须也为“false”。

   • MINIO_ROOT_CA_PATH 是 CA 证书的路径，如果使用 https 协议连接 MinIO (MINIO_SSL: true)，则需要指定该路径。您可以通过下列其中一种方式指定路径：
     • 将 MinIO CA 证书放置在路径所指定的目录中。在这种情况下，您必须取消 secret.cert-minio-ca 块的注释。
     • 使用 Vault 以存储证书数据。在这种情况下，您必须取消 vault.certificate 部分中 cert-minio-ca 块的注释。
3. 指定使用外部 MinIO 文件存储所需的 secret 值：

   configmap:

   secret:

   infracreds:

   type: fromEnvs

   envs:

   ...<使用外部 MinIO 文件存储所需的 secret>

   在本部分中，您必须指定以下变量：

   • MINIO_ROOT_USER 是为卡巴斯基容器安全指定的 MinIO 用户的名称。
   • MINIO_ROOT_PASSWORD 是为卡巴斯基容器安全指定的 MinIO 用户的密码。

   还可以使用 Vault secret 存储服务来指定用户名和密码。

   配置外部 MinIO 文件存储设置的示例

   kcs-s3:

   enabled: true

   external: true

   ...

   configmap:

   infraconfig:

   type: fromEnvs

   envs:

   ...

   MINIO_HOST: kcs-s3

   MINIO_PORT: 9000

   MINIO_BUCKET_NAME: reports

   MINIO_SSL: true

   MINIO_ROOT_CA_PATH: /etc/ssl/certs/minio-ca.crt

   ...

   secret:

   ...

   infracreds:

   type: fromEnvs

   envs:

   ...

   MINIO_ROOT_USER: kcs_user

   MINIO_ROOT_PASSWORD: ********

   ...

   使用 Vault 时：

   vault:

   ...

   secret:

   type: managedByVault

   ...

   MINIO_ROOT_USER: kv/test/minio@MINIO_ROOT_USER

   MINIO_ROOT_PASSWORD: kv/test/minio@MINIO_ROOT_PASSWORD

[Topic 298784]

安装私人修复

由于部署卡巴斯基容器安全的各类企业网络存在特殊性，有时需要为该解决方案安装私人修复。私人修复是一个或多个定制的 Docker 镜像。这类私人修复不会在卡巴斯基官方镜像源上发布，而是直接传输给客户，用于放入企业镜像仓库中。

要将接收到的 Docker 镜像放入镜像仓库：

1. 将包含 Docker 镜像的压缩文件保存在所选目录中。
2. 运行 docker load -i <压缩文件名称> 命令。
3. 运行 docker tag <步骤 2 中获取的哈希名称> <客户注册表/<组件>:fix> 命令。
4. 运行 docker push <客户注册表/<组件>:fix> 命令。
5. 根据安装私人修复所针对的组件，在以下其中一个配置文件中，将镜像标签从 <组件>:2.0 替换为 <客户注册表/<组件>:fix>。
   • 如果是为代理（node-agent 和 kube-agent）安装该修复，则在 YAML 文件（包含有关在集群中部署代理的说明）中进行相应操作。例如，node-agent:2.0 必须更改为 <客户注册表/node-agent:fix>。
   • 如果是为解决方案的核心组件安装该修复，则在 values.yaml 文件中进行相应操作。例如，kcs-ih:2.0 必须更改为 <客户注册表/kcs-ih:fix>

[Topic 276671]

删除解决方案

要卸载卡巴斯基容器安全的基本业务逻辑模块，请执行以下操作之一：

• 在安装了 Helm 软件包管理器的工作站上，访问安装了卡巴斯基容器安全的目标集群和命名空间，然后运行以下命令：

  helm uninstall kcs-release

  Helm 软件包管理器不会删除 PVC 对象、PV 对象或密钥。您应该使用以下命令手动删除这些项：

  kubectl delete pvc <PVC 名称>

  kubectl delete secret <密钥名称>

  kubectl delete pv <PV 名称>

• 如果卡巴斯基容器安全安装在单独的命名空间中，请运行以下命令：

  kubectl delete ns <命名空间>

要删除卡巴斯基容器安全代理：

在部署了代理的集群节点上运行以下命令：

kubectl delete -f <文件> -n kcs

其中 <文件> 是用于部署代理的 YAML 配置文件的名称。

如果删除集群节点上的所有代理，我们建议您删除包含这些代理的组。

要删除代理组：

1. 在卡巴斯基容器安全的主菜单中，转到“组件 → 代理”部分。
2. 在包含要删除的代理组的名称的行中，单击删除图标 ()。
3. 在打开的窗口中，确认操作。

[Topic 292946]

更新解决方案

您可以将卡巴斯基容器安全 1.2.x 升级到版本 2.0。

更新解决方案不会导致数据丢失。

在开始更新解决方案之前，您需要执行以下操作：

• 删除 ClickHouse 的 StatefulSet 对象：

  kubectl delete statefulset/kcs-clickHouse -n kcs

• 删除 ClickHouse 的 PVC 对象：

  kubectl delete pvc/pvc-clickhouse-kcs-clickhouse-0 -n kcs

• 如果您的解决方案版本使用 kcs-nats 组件，且它由 StatefulSet 控制器管理，您必须从以下集群中移除该控制器的 PVC：

  kubectl delete pvc/pvc-nats-js-kcs-nats-0 -n kcs

在上面列出的所有命令中，您必须将 -n kcs 替换为您的命名空间的名称。

其余更新过程与解决方案安装过程相同。

更新持续时间取决于可用数据库的容量，可能需要几个小时。我们建议在活动时间之外更新卡巴斯基容器安全。

您可以在卡巴斯基网站 https://www.kaspersky.com.cn 上找到有关应用程序最新版本的信息，或联系我们的合作伙伴。

[Topic 250383]

解决方案界面

管理控制台通过 Web 界面实现，由以下元素组成：

• 主菜单 – 主菜单的各个部分和子部分用于访问解决方案的主要功能。
• 工作窗格 – 工作窗格中的信息和控件取决于您在主菜单中选择的部分或子部分。

[Topic 295364]

主菜单

在 Web 界面中，卡巴斯基容器安全的主菜单位于左侧窗格，由对应于解决方案基本功能的多个部分组成。

资源

此部分包含所有可用卡巴斯基容器安全资源的监控结果：集群、与解决方案集成的仓库以及 CI/CD 过程。

调查

本节包含卡巴斯基容器安全对容器中的事件和镜像中检测到的漏洞的调查结果。

合规性

本节包含检查节点和集群资源是否符合以下标准的要求的结果： Kubernetes 基准和集群安全基准。

策略

此部分允许您在操作卡巴斯基容器安全时配置安全策略。

“风险接受”子部分含所有检测到的威胁和漏洞的列表，它们的风险已被用户接受。在该子部分中，您可以取消风险接受或设置将风险视为已接受的期限。

组件

本节包含有关解决方案组件（即代理、扫描器和内核）状态的信息。

管理

此部分允许您执行以下任务：

• 在“访问管理”下，您可以管理用户访问权限、定义角色和访问权限，以及限制对特定范围内的资源和功能的访问。
• 在“报告”下，您可以查看生成的镜像报告列表，以及下载或删除报告。
• 集成子部分允许配置与公共镜像仓库、镜像签名验证器、通知、LDAP 服务器、SIEM 系统和HashiCorp Vault的集成，以及获取集成状态信息。
• 在“事件”下，您可以查看应用程序生成的事件列表，在跟踪过程和分析潜在安全威胁时，该列表可能很有用。

设置

此部分允许您执行以下任务：

• 在“身份验证”下，您可以配置启动卡巴斯基容器安全管理控制台的设置并管理连接设置。
• “授权许可”子部分允许您管理授权许可设置并查看许可证功能。
• “关于”子部分包含有关应用程序版本以及恶意软件和漏洞数据库最新更新的信息。您还可以查看卡巴斯基容器安全授权许可协议的条款和条件、第三方代码信息和 API 引用，并打开卡巴斯基容器安全帮助以获取有关该解决方案及其操作的详细说明。

包含当前用户名的块

该块显示登录卡巴斯基容器安全管理控制台的用户的相关信息。使用弹出菜单的命令，可以转到用户配置文件页面并退出控制台。

[Topic 255368]

仪表盘

在卡巴斯基容器安全的主页上，您可以配置仪表盘以接收有关解决方案所处理对象的最新分析数据。此配置使用筛选器执行，允许您按对象和时间段对信息进行排序。

分析数据通过展示分析信息的小部件或专用工具显示。

当登录账户或单击主菜单上方包含解决方案徽标和名称的区域时，卡巴斯基容器安全仪表盘将打开。

[Topic 255372]

应用筛选器

卡巴斯基容器安全提供使用以下筛选器配置仪表盘的功能：

• 按时间段筛选：
  • 整个时间段
  • 本年
  • 本季度
  • 本月
  • 本周
  • 过去 24 小时
  • 自定义期间

  对于您选择的任何时间段，时间从当天开始算起。默认情况下，显示当周的信息。

• 按资源筛选：
  • 所有镜像
  • 集群外部的所有镜像
  • 集群中的镜像
  • 特定集群的镜像
  • CI/CD 镜像

  默认情况下，显示所有镜像的信息。

[Topic 295368]

仪表盘上的小组件

卡巴斯基容器安全在仪表盘上使用小组件提供分析数据，这些小组件根据数据类型分组为多个组。卡巴斯基容器安全中提供以下小组件组和小组件：

• 镜像对安全策略要求的符合情况。解决方案显示以下信息：
  • 镜像总数。
  • 状态为合规的镜像数量。
  • 状态为不合规的镜像数量。
• 镜像风险评估。该小组件提供有关对象状态的以下信息：
  • 镜像总数。
  • 状态为严重的镜像数量。
  • 状态为高的镜像数量。
  • 状态为中的镜像数量。
  • 状态为低的镜像数量。
  • 状态为可忽略的镜像数量。
  • 状态为正常的镜像数量。
• 最常导致集群节点不符合 Kubernetes 基准的前 10 个对象基准：
  • 最常导致不合规的 10 个集群节点基准。
  • 未能通过指定基准合规性检查的集群节点数量。
• 按风险评分最高的镜像数量排名前 10 的仓库。
• 漏洞
  • 最常检测到的前 10 种严重状态为严重、高或中的漏洞，以及包含指定漏洞的镜像数量。

    如果漏洞包含漏洞利用，则漏洞利用图标 () 会显示在严重级别旁边。您可以使用漏洞列表上方的包含漏洞利用切换开关来显示所有匹配的漏洞或仅显示带有漏洞利用的漏洞。

  • 包含已识别漏洞（严重状态为严重和高）数量最多的前 10 个镜像。
• 恶意软件
  • 最常检测到的前 10 种恶意软件，以及包含该恶意软件的镜像数量。
  • 检测到恶意软件类型数量最多的前 10 个镜像。
• 敏感数据：
  • 最常检测到的前 10 种严重状态为严重、高或中的敏感数据，以及包含此类敏感数据的镜像数量。
  • 包含检测到的敏感数据（严重状态为严重和高）数量最多的前 10 个镜像。
• 错误配置
  • 最常检测到的前 10 种严重状态为严重、高或中的错误配置，以及包含此类敏感数据的镜像数量。
  • 包含检测到的错误配置（严重状态为严重和高）数量最多的前 10 个镜像。

  指定严重级别的对象列表按严重程度进行降序排列（列表中的第一项是严重状态最高的对象）。

[Topic 267266]

用户个人资料

要进入用户个人资料页面：

1. 在主菜单中，单击含有当前用户名的块。
2. 选择“我的个人资料”。

在“我的个人资料”页面上，卡巴斯基容器安全将显示有关活跃用户账户的主要信息。此信息分为以下几部分：

• 一般信息 – 显示用户名和已显示的用户名、供联系的电子邮件地址以及分配给用户的角色列表。

  在该部分，还可以通过单击“更改密码”按钮更改访问管理控制台的密码。

• API 令牌 – 有关用于使用 API 连接和访问解决方案的令牌的信息。有效 API 令牌的值被掩码隐藏，可单击令牌右侧的取消掩码图标 () 以查看令牌值。可以单击掩码图标 () 来使用掩码隐藏令牌值。

  在该部分，还可以使用“复制”按钮复制活动令牌的值。如有必要，您还可以通过点击“重新签发令牌”按钮来生成新的 API 令牌。

• 权限 – 显示分配给用户的所有权限。

[Topic 263603]

设置数据显示的具体方法

卡巴斯基容器安全界面提供以下设置数据显示的方式：

• 筛选。筛选器字段位于数据表上方。筛选器字段和管理筛选器的方式取决于要显示的数据的具体情况。

  在某些部分中，您必须单击筛选器图标才能打开筛选器字段 ()。

• 按升序或降序排序。在某些部分中，您可以使用列标题中的排序图标 () 按选定列对数据列表进行排序。
• 搜索。您可以使用表格上方标有搜索图标 () 的“搜索”字段来搜索显示的数据。
• 菜单。在某些表格中，您可以使用表格行中的菜单命令对对象执行操作。要打开所选对象的菜单，请单击对象行中的菜单图标 ()。
• 选择。在某些表格中，您可以通过单击复选框 () 来选择项目。要取消选中某个复选框，请再次单击该复选框。
• 删除。您可以使用在选择对象时出现的删除图标 () 或“删除”链接来删除对象。
• 展开或折叠列表。在某些表格中，您可以单击展开图标 () 来展开对象行并查看其内容。要折叠表格元素，请单击折叠图标 ()。

[Topic 250749]

授权解决方案

本节提供了与卡巴斯基容器安全授权许可相关的一般条款的信息。

[Topic 251945]

关于最终用户授权许可协议

最终用户授权许可协议是您与卡巴斯基之间具有约束力的协议，规定了您可以使用应用程序所依据的条款。

在开始使用应用程序之前，请仔细阅读最终用户授权许可协议的条款。

您可以在卡巴斯基容器安全安装期间阅读最终用户授权许可协议的条款。

在应用程序安装期间确认您同意最终用户授权许可协议的文本，即表示您接受最终用户授权许可协议的条款。如果您不接受最终用户授权许可协议的条款，则必须取消安装应用程序并且不得使用应用程序。

该软件的更新功能（包括提供防病毒签名更新和代码库更新）可能无法在美国境内使用。

[Topic 251954]

关于授权许可

授权许可是根据最终用户授权许可协议授予的使用卡巴斯基容器安全的有时间限制的权利。

授权许可包括根据最终用户授权许可协议的条款使用应用程序以及获得技术支持的权利。可用功能和应用程序使用期限取决于用于激活应用程序的授权许可类型。

卡巴斯基容器安全支持以下类型的授权许可：

• NFR（不可转售）是特定期限的免费授权许可，旨在让用户熟悉应用程序并进行测试部署。
• 商业授权许可是您购买解决方案时获得的付费授权许可。

解决方案的功能取决于所持有的授权许可的类型。卡巴斯基容器安全支持以下授权许可：

• 标准授权许可 – 允许与镜像仓库和平台的集成、安全威胁检测扫描、风险评估以及对象状态监控。
• 企业授权许可 – 除了标准授权许可提供的功能之外，此授权许可还允许访问用于监视、控制和分析对象、错误配置检测以及安全威胁防护的组件。

授权许可过期后，应用程序可以继续运行，但功能有限。要使用卡巴斯基容器安全的全部功能，您必须购买商业授权许可或续订商业授权许可。

[Topic 251955]

关于授权许可证书

授权许可证书是与密钥文件或激活码一起收到的文件。

授权许可证书包含以下授权许可信息：

• 授权许可编号或订单号
• 有关被授予授权许可的用户的信息
• 有关在所提供的授权许可下可以激活的应用程序的信息
• 授权许可单位数量的限制（例如，可以在所提供的授权许可下使用应用程序的设备数）
• 授权许可期限的开始日期
• 授权许可到期日期或授权许可期限
• 授权许可类型

[Topic 251956]

关于授权许可密钥

授权许可密钥是一个位序列，可用于按照最终用户授权许可协议的条款激活和使用应用程序。授权许可密钥由卡巴斯基专家生成。

您可以通过应用密钥文件或输入激活码来向应用程序添加授权许可密钥。

卡巴斯基可以阻止违反最终用户授权许可协议的授权许可密钥。如果授权许可密钥已被阻止，您必须添加其他授权许可密钥才能继续使用应用程序。

[Topic 251958]

关于密钥文件

密钥文件是您从卡巴斯基收到的扩展名为 KEY 的文件。密钥文件的用途是添加激活应用程序的授权许可密钥。

您在购买卡巴斯基容器安全时提供的电子邮件地址会收到密钥文件。

您无需连接到卡巴斯基激活服务器即可使用密钥文件激活解决方案。

如果密钥文件被意外删除，您可以将其恢复。

要恢复密钥文件，请执行以下操作之一：

• 联系授权许可供应商。
• 在卡巴斯基网站上根据可用的激活码获取密钥文件。

[Topic 251957]

关于激活码

激活码是由 20 个英文字母和数字组成的唯一序列。您必须输入激活码才能添加激活卡巴斯基容器安全的授权许可密钥。激活码将发送到您在购买卡巴斯基容器安全时提供的电子邮件地址。

要使用激活码激活应用程序，需要访问互联网以连接到卡巴斯基激活服务器。

如果您在激活应用程序后丢失了激活码，请联系您购买授权许可的卡巴斯基合作伙伴。

[Topic 253551]

应用程序激活过程

应用程序激活是激活授权许可的过程，将授予使用卡巴斯基容器安全的权限，且在到期之前有效。

您可以使用在购买解决方案时所获取的激活码或密钥文件来激活应用程序。

在可访问互联网的公共公司网络中安装解决方案时，请使用激活码进行激活。在没有互联网连接的公共公司网络或专用公司网络中安装卡巴斯基容器安全时，请使用密钥文件进行激活。

要使用激活码激活应用程序：

1. 在“设置 → 授权许可”部分中，单击“添加授权许可密钥”按钮。
2. 在提示您选择希望如何添加授权许可密钥的窗口中，选择“输入激活码”。
3. 在“激活码”字段中，输入激活码，然后单击“添加”。

应用程序即被激活，授权许可信息页面将打开。

要使用密钥文件激活应用程序：

1. 在“设置 → 授权许可”部分中，单击“添加授权许可密钥”按钮。
2. 在提示您选择如何添加授权许可密钥的窗口中，选择“上传密钥文件”，然后单击“上传并添加”按钮。
3. 在打开的窗口中，选择扩展名为 KEY 的文件，然后单击“打开”。

应用程序即被激活，授权许可信息页面将打开。

激活应用程序时，新的激活码或密钥文件将替换之前输入的激活码或密钥文件。

[Topic 253956]

查看授权许可信息

您可以在卡巴斯基容器安全 Web 界面的“设置 → 授权许可”部分中查看有关活动授权许可的信息。

授权许可详细信息页面显示以下参数：

• 授权许可信息。卡巴斯基容器安全显示以下内容：
  • 您向其购买授权许可的卡巴斯基合作伙伴的名称。
  • 授权许可期限。

    该期限从您购买授权许可的那一刻开始，而不是从您激活应用程序的那一刻开始。

• 客户信息。该子部分提供有关购买授权许可的公司的数据：
  • 公司名称
  • 公司所在国家/地区
  • 客户代表的电子邮件地址
• 授权许可到期之前的剩余时间 – 解决方案会显示授权许可到期的确切日期和时间。
• 节点数是授权许可允许的最大节点数和活动节点数。
• 每月镜像扫描次数是授权许可允许的最大镜像扫描次数和已完成的扫描次数。一个月被视为过去 30 天（从当天算起的 30 天）。
• 授权许可提供的功能。解决方案将显示您购买的授权许可下的可用功能列表。

[Topic 254015]

续订授权许可

当授权许可即将到期时，卡巴斯基容器安全将显示以下通知：

• 授权许可即将到期的通知，指示到期前的剩余时间。您将在授权许可到期前 30 天、14 天和 7 天收到此通知。
• 授权许可即将到期并且解决方案将切换到有限功能模式的通知。此通知在授权许可到期当天发送。

在有限功能模式下，卡巴斯基容器安全的功能受到如下限制：

• 不会执行新对象扫描。
• 授权许可过期后，Web 界面不会显示添加到之前创建的集群中的新节点。
• 无法添加新的集群进行监控。
• 漏洞数据库不会更新。

您可以通过应用新的激活码或添加新的密钥文件来续订授权许可。要续订授权许可，请联系您向其购买授权许可的卡巴斯基合作伙伴。

[Topic 255742]

删除授权许可密钥

要删除授权许可密钥：

1. 在“设置 → 授权许可”部分中，单击“删除授权许可密钥”按钮。
2. 单击“删除”按钮确认删除。

[Topic 250750]

数据提供

本节包含有关卡巴斯基容器安全在运行期间可以保存在设备上和转发到卡巴斯基的数据的信息。

如果您使用激活码激活卡巴斯基容器安全，则您同意自动向卡巴斯基提供信息，作为常规授权许可密钥状态确认流程的一部分。为了确认授权许可密钥状态， 卡巴斯基容器安全会定期联系卡巴斯基激活服务器并将以下信息转发到卡巴斯基：

• 区域激活中心标识符；
• 使用解决方案的授权许可的标题；
• 授权许可密钥的校验和类型和校验和；
• 授权许可密钥的创建日期和时间；
• 解决方案授权许可的到期日期和时间；
• 解决方案授权许可标识符；
• 提供解决方案使用授权许可时应用的信息模型的标识符；
• 当前授权许可密钥状态；
• 用于激活解决方案的授权许可类型；
• 唯一设备标识符；
• 设备操作系统的系列名称；
• 解决方案安装标识符 (PCID)；
• 解决方案的标识符、本地化和完整版本；
• 从授权许可中获得的解决方案标识符；
• 兼容的软件标识符集；
• 解决方案品牌重塑标识符；
• 向解决方案用户显示的法律协议列表；
• 用户在使用解决方案时所接受的法律协议的类型和版本。

此外，使用激活码即表示您同意将以下信息转发到卡巴斯基：

• 用户为激活解决方案所输入的激活码；
• 用户设备上的日期和时间；
• 设备操作系统的版本、内部版本号、更新号和修订版；
• 指示用户在使用解决方案时接受了法律协议条款的标志。

使用激活码即表示您同意自动将上面列出的数据转发到卡巴斯基。如果您不同意提供此信息，请使用密钥文件激活卡巴斯基容器安全。

如果您使用卡巴斯基更新服务器下载更新，则您同意自动提供以下信息：

• 从授权许可中获取的卡巴斯基容器安全解决方案标识符；
• 解决方案的完整版本；
• 解决方案授权许可标识符；
• 有效授权许可的类型；
• 解决方案安装标识符 (PCID)；
• 解决方案更新启动的标识符；
• 处理的网址。

卡巴斯基可以使用获得的所有数据来生成有关卡巴斯基软件的分发和使用的统计信息。

卡巴斯基根据法律规定的要求和卡巴斯基的适用法规保护所接收的任何信息。数据通过加密的通信通道传输。

有关对使用解决方案期间获得并传输到卡巴斯基的信息进行处理、存储和销毁的更多详细信息，请参阅卡巴斯基网站上的最终用户授权许可协议和隐私策略。

[Topic 294418]

使用集群

卡巴斯基容器安全提供了一种工具，用于显示和分析集群中命名空间内各种对象之间的连接。

集群是一组运行容器化应用程序的

通过使用集群，您可以对这些集群内的镜像执行批量扫描。执行此操作时，扫描期间在集群中找到的仓库会自动创建。卡巴斯基容器安全会自动读取并记录用于访问集群中仓库的标识数据（用户名、密码、令牌），并生成此对象的链接。还会为仓库分配以下格式的名称：<集群名称>_<仓库名称>。使用集群对象时，接收到的标识数据将用于访问仓库。

在“资源 → 集群”下，卡巴斯基容器安全以表格形式显示可用集群列表。

[Topic 294424]

查看集群列表

“资源 → 集群”部分将显示一张有关卡巴斯基容器安全中可用集群的表格。为每个集群提供以下数据：

• 集群名称。单击“集群名称”列中的集群名称，您将进入可查看该集群中命名空间的页面
• 集群中包含的命名空间数量
• 部署集群的编排器名称
• 最高风险评级。基于集群中镜像的风险评级分配给该集群的最大风险评级

您可以使用“排序”来重新排列表格中的数据，如下所示：

• 按集群名称：您可以在“集群名称”列中按字母顺序升序（从 A 到 Z）或降序（从 Z 到 A）排列集群。
• 按命名空间数量：您可以按照命名空间列中的命名空间数量的降序或升序对集群进行排序。
• 按编排器名称：通过对“编排器”列进行排序，您可以根据部署集群的编排器对集群进行分组。
• 按最高风险评级：您可以按最高风险评级降序或升序排列集群，并显示在“最高风险评级”列中。

单击“在图表上查看”列中的“查看”，即可查看集群中的命名空间及其之间的连接。卡巴斯基容器安全将打开所选集群的“命名空间图表”。

仅当部署的代理可用时，才能扫描并以可视化形式展示集群资源。

[Topic 294420]

集群中的命名空间

要查看集群中包含的命名空间：

1. 转到“资源 → 集群”下的“表格”选项卡。
2. 在包含集群列表的表格中的“集群名称”列，单击集群名称。

   卡巴斯基容器安全将打开一个页面，其中显示了包含所选集群中命名空间列表的表格。

为集群中的每个命名空间指示以下信息：

• 命名空间名称。在“命名空间”列中，单击命名空间名称中的链接，您将进入可查看命名空间中 Pod 的页面。
• 所选命名空间中所有 Pod 的容器数量。
• 扫描的镜像数量。扫描镜像列将以 X/Y 格式显示此信息，例如：1/8。第一个值 (X) 表示扫描镜像的数量，第二个值 (Y) 表示命名空间中的镜像总数量。
• 状态为“队列中”的镜像数量。“队列中的扫描”列将显示排队等候扫描的作业中的镜像数量。
• 状态为“出现错误”的镜像数量。“失败的扫描”列将显示扫描完成但出现错误的镜像数量。
• 分配给命名空间中镜像的最高风险评级。

您可以使用排序来重新排列表格中的数据，如下所示：

• 按命名空间名称：您可以在“命名空间”列中按字母顺序升序（从 A 到 Z）或降序（从 Z 到 A）排列对象。
• 按所选命名空间中 Pod 的容器数量升序或降序排列。
• 按带有“队列中”状态标记的镜像数量升序或降序排列。
• 按带有“出现错误”状态标记的镜像数量升序或降序排列。
• 按最高风险评级：您可以按最高风险评级降序或升序排列命名空间，并显示在“最大风险评级”列中。

单击“在图表上查看”列中的“查看”，即可查看命名空间中的对象。卡巴斯基容器安全将打开所选命名空间的应用程序图表。

要查看集群中的命名空间及其关系，

请转到“资源 → 集群”下的“图表视图”选项卡。

[Topic 294423]

集群中的 Pod

要查看命名空间中的 Pod 列表：

1. 在“资源 → 集群”下，打开包含集群中命名空间列表的表格。
2. 在“命名空间”列中，单击命名空间的名称。

   卡巴斯基容器安全将打开一个页面，其中会显示一个包含所选集群中 Pod 列表的表格。

对于所选命名空间中的每个 Pod，将显示以下内容：

• Pod 名称。
• 与 Pod 关联的容器名称列表。
• 部署容器的镜像的名称。通过点击镜像名称中的链接，可以转到“资源 → 仓库”下该镜像扫描的结果页面。
• 对安全策略要求的符合情况。
• 风险评级。卡巴斯基容器安全将显示在“镜像”列中指定的镜像风险评级。
• 检测到的安全问题（漏洞、恶意软件、敏感数据和错误配置）数量 – 对于漏洞，该解决方案单独列出了其数量并按严重程度进行细分。
• 上次对象扫描的日期和时间。

您可以使用排序来重新排列表格中的数据，如下所示：

• 按 Pod 名称、容器名称或镜像名称：您可以按字母升序或降序排列“Pod”、“容器”和“镜像”列中的对象。
• 是否符合安全策略。卡巴斯基容器安全可以根据“合规”和“不合规”状态对对象进行分组。
• 按风险评级：可以按照严重程度对对象进行排列。
• 按日期和时间：卡巴斯基容器安全可以按扫描日期和时间从最早或最晚开始显示对象。

[Topic 271446]

集群资源可视化

卡巴斯基容器安全可视化了一个或多个集群内的对象，以及集群内的对象与集群或范围之外的资源之间的链接。根据集群资源可视化的级别，它将显示以下内容：

• 命名空间图表：表示集群及其中的命名空间。
• 所选集群的应用程序图：显示集群、其命名空间以及扩展命名空间的应用程序。通过将对象扩展至最低级别，可以最详细地显示应用程序图。

使用集群资源图表时，必须考虑对象显示的以下详情：

• 对象图标右上角的数字显示了指定对象内更低级别的对象（子对象）的数量。
• 图表上的对象可能会以某种颜色突出显示。如果对象符合关于风险评估和安全策略合规的既定参数，则可对其进行识别。
• 图表上的对象将按照以下规则分组：
  1. 如果突出显示的对象数量超过五个，则将其分为一组。
  2. 如果未突出显示的对象数量超过两个，则将其分为一组。
• 如需要，可以隐藏图表上的对象。

如果该集群存在活动代理，则会生成集群资源的可视化表示。

[Topic 273534]

图表上的集群资源

卡巴斯基容器安全可扫描并显示集群的资源及其之间的链接。此扫描针对所有具有活动代理的集群执行。

集群资源是存储在编排器中并用于表示集群状态的实体或对象。在它们的帮助下，您可以获得有关正在运行的容器化应用程序的信息、它们的启动位置（节点）以及对其可用的资源。集群对象还可定义用于管理正在运行的应用程序的策略（例如，重新启动或更新）。

在卡巴斯基容器安全的界面中，最高级别的对象（父对象）是集群。它包括在其中启动应用程序的命名空间。反过来，应用程序包括 Pod 和其他对象。

集群是一组运行容器化应用程序的实体机或虚拟机（节点）。在 Kubernetes 中节点分为以下类型：

• 主节点实现 API 对象并用于管理集群及其资源。
• 工作节点用于运行工作负载。一个集群包含一个或多个工作节点。

卡巴斯基容器安全将集群显示为使用集群图标的图表（）。

根据您想要集群资源显示的详细程度，卡巴斯基容器安全将图表显示为命名空间图表或应用程序图表。下表列出了可能包含在集群中并显示在图表上的所有对象。

集群内的对象

[Topic 272591]

命名空间图表

要查看选定集群的命名空间图表，

在包含集群列表的表中，单击“查看”。

卡巴斯基容器安全显示集群及其命名空间。

卡巴斯基容器安全可以在侧边栏或表格中的命名空间图表上显示有关集群和命名空间的信息。侧边栏提供了有关对象的简短总结。表格展示了有关集群中对象的安全扫描状态的更多详细信息。侧边栏和表格之间的数据部分重复。

[Topic 272699]

在侧边栏中查看有关图表对象的详细信息

要在侧边栏查看集群信息：

1. 单击命名空间图表上的集群 () 或命名空间 () 图标。
2. 在打开的菜单中，选择“详细信息”。

   详细信息侧边栏将显示以下特定于对象的数据：

   1. 对于集群：
      • 集群名称。
      • 集群中命名空间的数量。
      • 集群编排平台。
      • 分配给集群中对象的最大风险评级。
      • 安全策略合规状态为合规或不合规。
   2. 对于命名空间：
      • 命名空间名称。
      • 命名空间中的容器和应用程序数量。
      • 命名空间中的扫描镜像数量。
      • 处理扫描任务和失败扫描任务的数量。
      • 分配给集群中对象的最大风险评级。
      • 安全策略合规状态为合规或不合规。
      • 所有风险类型的安全问题数量。对于漏洞，指明安全问题的数量，并按风险严重程度进行细分。

[Topic 272700]

在表格中查看有关图表对象的详细信息

要查看表格中图表上对象的信息：

1. 单击命名空间图表中的以下图标之一：
   • 集群 ()
   • 命名空间组 ()
   • 命名空间 ()
2. 在打开的菜单中，选择“在表格中打开”。

   卡巴斯基容器安全会在图表下方的工作窗格底部打开一个表格，其中包含有关所选对象或对象组的信息。根据对象，卡巴斯基容器安全将在打开的表格中显示以下容器详细信息：

   1. 对于集群或命名空间组：
      • 集群中的命名空间列表。
      • 每个命名空间中的容器数量。
      • 每个命名空间的扫描镜像、队列中的扫描作业以及失败的扫描作业的数量。
      • 分配给集群中对象的最大风险评级。
      • 安全策略合规状态为合规或不合规。
   2. 对于选定的命名空间：
      • 此命名空间中的应用程序及其类型的列表。
      • 每个应用程序中的 Pod 和容器数量。
      • 分配给命名空间中对象的最大风险评级。
      • 安全策略合规状态为合规或不合规。

您也可以使用该表格来配置对象在图表上的显示方式，以隐藏或显示命名空间。

[Topic 294421]

应用程序图表

要查看选定集群的应用程序图表：

1. 转到资源→集群。
2. 执行以下操作之一：
   • 在表格查看选项卡上，打开包含命名空间列表的表格并单击“查看”。
   • 在图表查看选项卡中，打开命名空间图并执行以下操作之一：
     • 双击将命名空间扩展至应用程序。
     • 单击命名空间图标 () 打开菜单并选择在图表上展开。

   卡巴斯基容器安全显示所选命名空间中的所有应用程序。

每个应用程序都可以向下扩展到 Pod 级别。您可以在选定集群的应用程序图上查看以下对象的详细信息：

• 关于应用程序。
• 关于所选应用程序内的对象。
• 关于图表上的 Pod。

[Topic 273663]

查看应用程序信息

要打开有关应用程序图中的应用程序的信息，请

单击应用程序图标 (）打开菜单并选择“详细信息”。

卡巴斯基容器安全将打开一个侧面板，其中包含有关应用程序的详细信息。

该解决方案显示有关应用程序的以下信息：

• 对象类型和应用程序类型（例如，应用程序：部署）。
• 应用程序名称。
• 最高风险评级。该解决方案可根据该应用程序内所有对象的最高严重性级别为应用程序分配风险等级。
• 安全策略合规状态为合规或不合规。
• 容器选项卡包含所选 Pod 内的容器的以下信息：
  • 容器名称。
  • 部署容器的镜像的名称。
  • 安全策略合规状态为合规或不合规。
  • 分配给 Pod 中容器的最大风险评级。
  • 所有风险类型的安全问题数量。对于漏洞，指明安全问题的数量，并按风险严重程度进行细分。
  • 上次扫描从其部署容器的镜像的日期和时间。
• 策略选项卡显示有关应用于应用程序的保障策略和运行时策略的信息。

  保障策略部分提供以下信息：

  • 策略应用状态（已通过/已失败）。
  • 策略名称。
  • 表明现有的安全威胁。根据所应用的策略，扫描结果可以显示如下：
    • 扫描已执行，识别出安全威胁（）。
    • 扫描已执行，未识别出安全威胁（）。
    • 未对此类安全威胁进行扫描（）。

  运行时策略部分包含以下信息：

  • 策略名称。
  • 策略应用模式（审计/强制）。

  通过单击策略选项卡中策略名称的链接，您可以查看其详细描述。侧栏显示以下信息：

  • 策略类型和名称。
  • 策略描述（如果有）。
  • 策略作者。
  • 模式（适用于运行时策略）。
  • 预定义范围的列表。
  • 应用策略时执行的操作（适用于保障策略）。
  • 设定基准及其参数。

  您可以通过单击编辑策略按钮来编辑保障策略的设置。

  要查看策略的详细描述，您必须具有查看它们的权限。需要策略管理权限才能更改策略设置。

[Topic 273666]

查看应用程序中对象的信息

要打开有关应用程序图中的对象的信息：

1. 在应用程序图上，选择您想要获取其对象信息的应用程序，然后执行以下操作之一：
   • 双击应用程序将其展开至其组成对象。
   • 单击应用程序图标 () 打开菜单并选择在图表上展开。
2. 选择感兴趣的对象并双击以在侧面板中展开其信息。

   卡巴斯基容器安全将打开一个侧面板，其中包含有关所选对象的详细信息。

根据对象的类型，会显示有关所选实体的附加信息。下表描述了解决方案针对应用程序中的各种对象显示的信息集。

应用程序中的对象信息

您可以使用下载 .yaml按钮为所有对象生成并下载一个包含对象当前状态描述的文件（.YAML 格式）。

[Topic 273755]

查看 Pod 信息

要打开 Pod 信息，请

在图表上，选择您想要接收其信息的 Pod，然后双击在侧面板中展开其信息。

卡巴斯基容器安全在所有类型的图表上显示 Pod：命名空间图表和应用程序图表。

该解决方案将打开一个侧面板，其中包含有关 Pod 的详细信息。

卡巴斯基容器安全显示有关该 Pod 的以下信息：

• 对象类型。
• Pod 镜像中的最大风险分数。
• 安全策略合规状态为合规或不合规。
• Pod 名称。
• 常规选项卡包含有关该对象的以下信息：
  • 创建的日期和时间。
  • 标签。
  • Pod 运行状态。
  • Pod 生命周期 – 查看 Pod 信息的日期和时间与其创建日期和时间之间的时间段。
  • Pod 容器使用的端口列表，格式如下：<“端口名称”端口协议>。例如，"dns" UDP 53。
  • Pod 可用的系统功能。
  • Pod 使用的 PV 的名称。
  • 所用 PVC 的名称。
  • Pod 所在的应用程序、命名空间和集群的名称。

  另外，在此选项卡中，您可以单击“下载 *.yaml”来生成并下载包含 Pod 描述的文件。

• 容器选项卡包含有关 Pod 内的容器的以下信息：
  • 容器名称。
  • 部署容器的镜像的名称。
  • 部署镜像的合规性状态：合规或不合规。
  • 部署镜像的最高风险评级。
  • 所有风险类型的安全问题数量。对于漏洞，指明安全问题的数量，并按风险严重程度进行细分。
  • 上次扫描从其部署容器的镜像的日期和时间。
  • Pod 容器使用的端口列表，格式如下：<“端口名称”端口协议>。
  • 容器的附加属性 – 它是一个
    初始化容器

    一种特殊容器，当 Pod 初始化时、在主容器启动之前启动。初始化容器为操作准备环境（例如，它们可访问秘密或重定向网络流量）并且可能包含主容器中不必要或不需要的实用程序。

    。
• 策略选项卡显示有关应用于 Pod 的保障策略和运行时策略的信息。关于应用到 Pod 的策略的信息分为两部分（保障策略和运行时策略），类似于在图表上查看有关应用程序的信息时显示的有关适用策略的信息。

  要查看策略的详细描述，您必须具有查看它们的权限。需要策略管理权限才能更改策略设置。

[Topic 274980]

在表格中查看有关应用程序图表对象的详细信息

要查看作为表格的应用程序图表上对象的信息：

1. 执行以下操作之一：
   • 单击表示图表上命名空间内的应用程序数量的命名空间图标 ( ) 。
   • 单击命名空间内应用程序组的图标 (）。
2. 在打开的菜单中，选择“在表格中打开”。

   解决方案将在图表下方工作区下部打开一个表格，其中包含有关应用程序的信息。卡巴斯基容器安全显示以下信息：

   • 该命名空间中的应用程序列表及其类型（父对象的类型）。
   • 每个应用程序中的 Pod 和容器数量。
   • 分配给命名空间中对象的最大风险评级。
   • 安全策略合规状态为合规或不合规。

[Topic 273477]

突出显示图表上的对象

要突出显示图形上的对象：

1. 单击图表上方的“突出显示对象”按钮。

   卡巴斯基容器安全将打开一个侧边栏，您可以在其中配置突出显示对象的设置。

2. 选中复选框以指定以下设置的值：
   1. 风险评级。您可以选择一个或多个风险严重程度级别（“严重”、“高”或“中”）。如果未选中复选框，则图表上的对象不会突出显示。

      默认情况下，值为“严重”和“高”的复选框处于选中状态。

   2. 合规 如果选中“不合规”复选框，卡巴斯基容器安全将突出显示不符合适用安全策略的对象。如果未选中此复选框，则图表上的对象不会突出显示，无论其是否符合标准。

      默认情况下，不合规为指定项。

3. 单击“应用”。

   卡巴斯基容器安全根据您的设置更新图表并显示对象。

   对于每个用户，解决方案都会保存用户指定的突出显示设置，并在显示该用户稍后打开的集群对象时应用这些设置。

[Topic 272713]

配置对象在图表上的可见性

默认情况下，卡巴斯基容器安全在图表上显示集群中的所有命名空间。如果这些命名空间及其中的对象与您的特定分析任务无关，必要时您可以隐藏命名空间。

您可以配置图表对象的可见性：

• 在图表上
• 在包含子对象相关信息的表格中

要借助图表隐藏名字空间：

1. 单击图表上的对象图标。
2. 在打开的菜单中，选择“隐藏”。

   卡巴斯基容器安全将更新图表并隐藏对象。

   您可以借助包含有关父对象或对象组详细信息的表格来恢复对象的可见性。

要借助表格配置命名空间的可见性：

1. 在包含命名空间作为列的一部分的表中，选择一个或多个要更改可见性设置的对象。
2. 使用表格上方的按钮执行以下操作之一：
   • 要显示图表上的对象，请单击“在图表上显示”。
   • 要隐藏图表上的对象，请单击“在图表上隐藏”。

   卡巴斯基容器安全根据您的设置更新图表并显示对象。“数据显示”列指示对象在图表上是否显示或隐藏。

[Topic 294425]

图表上的网络连接

卡巴斯基容器安全在图表上显示对象之间的网络交互，还提供有关集群资源之间网络连接的信息。

要查看集群中的网络连接：

1. 在资源 → 集群部分，转到图形视图选项卡。
2. 点击图表区域上方的网络连接按钮。

   解决方案将打开侧边栏，其中包含可供显示的网络连接类型。

3. 通过选中复选框，选择一个或多个网络连接显示选项。您可以选择以下显示选项：
   • 显示审计模式连接。这将显示根据审计模式下应用的运行时策略检测到的网络连接。
   • 显示强制模式连接。这将显示根据强制模式下应用的运行时策略阻止的网络连接尝试。
   • 显示所有其余连接。这将显示审计和强制模式下应用的运行时策略未涵盖的网络连接。
4. 单击“应用”。

   图表将重新加载，选定的网络连接将显示。

[Topic 297994]

网络进程显示原则

以下原则适用于卡巴斯基容器安全中图表上网络连接的显示：

• 解决方案将连接显示为两个对象（集群内的对象组）之间的边，或一个对象（对象组）与集群外部资源之间的边。图表上的箭头从发送者对象指向接收者对象。如果相同类型的网络连接（例如，审计模式连接）发生在通过网络连接链接的一对对象之间，并且对象之间的流量是双向的，则解决方案用双向箭头表示该活动。
• 如果接收对象超出了相关集群、基础设施或分配给用户的范围，则解决方案将其指示为超出集群或范围的资源。
• 如果检测到涉及此类组中至少一个对象的入站或出站流量，则图表显示与该组命名空间或应用程序的网络连接。当您将组展开到其组成对象时，将显示与特定资源的连接。
• 如果多个网络连接从一个对象转到另一个对象，则解决方案在显示它们时会采用网络连接的优先级。强制模式连接具有最高优先级，而其他连接的优先级最低。

解决方案显示不同类型的网络连接，如下所示：

• 图表上的强制模式连接用红色虚线表示（）。
• 图表上的审计模式连接用带箭头的红实线表示 (）。
• 图表上的其他连接用带箭头的黑实线表示（）。
• 双向网络连接在图表上表示为与某一活动类型相对应的一条线，两端都有箭头（）。
• 如果将鼠标悬停在图表上的网络连接线上，该线将突出显示并改变颜色（）。

[Topic 297999]

查看有关网络连接的信息

卡巴斯基容器安全可以提供有关网络连接的简要和详细信息。

要查看有关网络连接的简要信息：

将鼠标悬停在相关网络连接上。

该解决方案将显示一个工具提示，其中包含每种网络连接类型（针对审计和强制模式中的连接以及其他连接）的非唯一连接的数量。

要查看有关网络连接的详细信息：

单击相关连接。

卡巴斯基容器安全将打开侧栏，其中包含有关所选连接的网络连接的信息。

侧边栏显示侧边栏打开之前 15 分钟的网络连接信息。关于网络连接的信息以表格的形式在审计模式连接、强制模式连接、其他连接选项卡中提供。连接数显示在选项卡名称旁边。

这些表格具有相同的结构并包含以下信息：

• 源列包含网络流量发送方 Pod 的名称，以及格式为<pod IP address:outbound traffic port>的 Pod 的 IP 地址。您可以单击 Pod 名称中的链接来打开该 Pod 的详细描述。
• 协议列表示 Pod 交互协议。
• 目的地列包含网络流量接收方 Pod 的名称，以及格式为<pod IP address:inbound traffic port>的 Pod 的 IP 地址。您可以单击 Pod 名称中的链接来打开该 Pod 的详细描述。
• 连接数列显​​示流量发送方和接收方之间的非唯一连接的总数。
• 上次连接列显示流量发送方和接收方之间上次非唯一连接的日期和时间。

如果发送方对象或接收方对象位于相关集群之外，则源或目的地列分别显示该对象的域名和 IP 地址（如果解决方案可以获取此信息）。

[Topic 275421]

按适用范围显示图表

在图表上显示集群资源时，会考虑分配给用户角色的范围。在这种情况下，必须考虑以下几点：

• 如果为用户角色分配了全局范围，则图表会显示所有集群资源。
• 如果将访问命名空间内特定图像的范围分配给用户角色，则图表将显示整个命名空间（显示命名空间中的所有实体）。
• 如果将无权访问特定命名空间的范围分配给用户角色，则此类命名空间不会显示在图表上。

  如果在分配的范围内没有要显示的选定集群的命名空间，则解决方案将通知您没有要显示的数据。

[Topic 294300]

处理仓库中的镜像

“资源 → 仓库”部分包含卡巴斯基容器安全扫描的镜像存储库列表以及镜像扫描结果。该列表包括与卡巴斯基容器安全集成的仓库中的镜像。您可以自动或手动向该列表添加镜像。

当您在“管理”中配置与仓库的集成以及拉取和扫描仓库镜像的设置之前，镜像列表为空。

镜像列表显示为表格，镜像按存储库分组。

您可以在“资源 → 仓库”部分中执行以下操作：

• 按名称或校验和搜索镜像。

  仅在选定的活动镜像仓库中进行搜索。如果所查找的镜像不在所选仓库中，而是其他仓库的一部分，则搜索不会给出任何结果。

• 筛选列表以显示符合指定条件的镜像：
  • 仅限指定仓库中的镜像；
  • 符合或不符合基准的镜像；
  • 在指定时间段内扫描的镜像；
  • 已识别出指定风险的镜像。
• 开始重新扫描指定镜像（选择一个或多个镜像后，表格上方会显示“重新扫描”按钮）。
• 生成所选镜像的报告（选择一个或多个镜像后，表格上方会显示“创建报告”按钮）。
• 将镜像添加到列表中和从列表中删除镜像。
• 查看有关镜像扫描结果的详细信息。

[Topic 294302]

添加和删​​除镜像

与卡巴斯基容器安全集成的仓库中的镜像可以自动添加到镜像列表中，与为每个仓库拉取和扫描镜像所配置的设置一致。您还可以手动向仓库镜像列表中添加镜像。新镜像将排队等待扫描。

要手动向列表添加镜像：

1. 在资源 → 仓库部分，单击表格上方的添加镜像按钮。

   您不能将镜像添加到根据外部 Harbor 仓库的请求创建的镜像仓库中。

2. 在显示的窗口中，从仓库下拉列表中选择一个仓库。
3. 在搜索字段中，输入存储库或者镜像的名称或部分名称，然后单击搜索按钮。
4. 在存储库下面，选择一个存储库。
5. 在镜像标签下面，使用复选框选择镜像。

   您可以从多个存储库选择镜像。

6. 单击“添加镜像”按钮。

为了优化镜像仓库的负载，每 10 分钟生成一次所连接仓库中镜像的列表。新镜像出现在仓库中后，可能会延迟指定的时间后才显示在卡巴斯基容器安全界面中。

要从列表中删除镜像：

1. 在“资源 → 仓库”部分中，执行以下操作之一：
   • 从列表中选择要删除的一个或多个镜像，然后使用表格上方的“删除”链接开始删除。
   • 在列表中，选择要删除的镜像的存储库，打开存储库名称所在行的操作菜单，然后选择“删除存储库”。
2. 在打开的窗口中，确认删除。

[Topic 294283]

查看仓库的镜像扫描结果

有关存储库中所有镜像和每个特定镜像的扫描结果的摘要信息显示在存储库中“资源 → 仓库”部分的镜像列表中。

单击镜像名称链接可打开包含镜像扫描结果详细信息的页面。

窗口顶部的选项卡包含以下信息：

• “风险”选项卡提供扫描结果的摘要。如果在扫描过程中检测到威胁，页面底部会提供推荐的保护镜像的操作。单击“重新扫描镜像”按钮可重复扫描镜像。
• “漏洞”选项卡显示在镜像中检测到的漏洞。点击漏洞名称中的链接，即可打开漏洞的详细描述，并了解是否存在
  漏洞利用

  利用系统或应用程序软件中的某些漏洞的程序代码。漏洞利用经常被用来在用户不知情的情况下将恶意软件安装到计算机上。

  。

  卡巴斯基容器安全从连接的漏洞数据库接收漏洞描述。该描述以漏洞数据库的语言提供。例如，来自 NVD 的漏洞描述以英语显示。
  解决方案中的漏洞分类与连接的漏洞数据库中使用的分类相匹配。

• “层”选项卡显示镜像中使用的层以及已识别漏洞的规格。单击层名称链接可打开已识别漏洞的详细描述。
• “资源”选项卡展示资源（组件）以及已识别漏洞的规格。单击资源名称链接可打开已识别漏洞的详细描述。
• 恶意软件扫描列出扫描在镜像中检测到的恶意软件。单击恶意软件名称链接可打开详细描述。
• “敏感数据”选项卡将显示在镜像中发现的敏感数据（机密），例如密码、访问密钥或令牌。
• “错误配置”选项卡显示检测到的构成威胁的镜像错误配置。单击错误配置名称链接可打开详细描述。
• “信息”选项卡提供有关镜像和镜像历史记录的基本信息。
• “哈希扫描历史记录”显示每个镜像版本的最新扫描结果。如果扫描相同版本的镜像，结果会更新；如果扫描不同版本的镜像，结果会添加到表格的单独行中。

以下信息为每个镜像显示：

• 对安全策略要求的符合情况。
• 风险评级，表明风险严重程度。
• 上次扫描的日期和时间。
• 在镜像中包含漏洞、恶意软件、敏感数据和配置错误的对象的数量。对于漏洞，将针对每个已识别的风险严重程度级别分别标明对象数量。
• 在当前范围内采用适当的安全策略进行镜像扫描的结果。

如果某个镜像包含在通过 Harbor 请求与解决方案集成时创建的镜像仓库中，则解决方案会指示这一点，并使用 Harbor 图标 (）标记镜像。

您可以通过单击创建报告按钮生成有关镜像的详细报告。您也可以通过单击重新扫描按钮来启动重新扫描镜像。

无法对卡巴斯基容器安全从通过 Harbor 请求与解决方案集成期间创建的镜像仓库中收到的镜像进行重新扫描。

您可以接受每个已识别的风险。

[Topic 291077]

有关检测到的漏洞的详细信息

镜像扫描期间检测到的漏洞列表以表格形式显示在镜像扫描结果窗口的“漏洞”选项卡上。对于每个漏洞，提供了以下信息：

• 漏洞条目标识符 标识符以 CVE-YYYY-X... 格式给出，其中：
  • CVE 是一个前缀，表示该漏洞已包含在已知漏洞和安全缺陷数据库中。
  • YYYY 是报告该漏洞的年份。
  • X... 是授权机构分配给漏洞的编号。
• 漏洞的严重级别基于其风险评级。

  如果漏洞包含漏洞利用，则漏洞利用图标 () 会显示在严重级别旁边。

• 在其中检测到漏洞的已安装容器化资源。
• 供应商是否提供了针对该漏洞的修复程序。解决方案显示具有修复方案的版本号，或指示无可用的修复方案。

您可以通过单击风险接受列中的“接受”按钮接受漏洞的风险。

要接受风险，就需要有风险管理权限。

要查看检测到的漏洞的详细信息：

1. 单击以下部分之一中含有漏洞记录 ID 的链接：
   • 在镜像扫描结果窗口的“漏洞”选项卡上。
   • 在控制板的漏洞块中。
   • 在包含完整漏洞列表的的表格中，在调查→漏洞部分。
2. 这将打开侧边栏，其中包含有关检测到的漏洞的以下信息：
   • 漏洞条目标识符
   • 来自漏洞数据库的漏洞描述。该描述以漏洞数据库的语言提供。例如，NVD 的漏洞描述以英文显示。
   • 常规信息选项卡显示以下内容：
     • 漏洞的严重级别基于其风险评级。
     • 在其中检测到漏洞的已安装资源。
     • 基于
       NVD

       国家信息安全漏洞库 (NVD) 是美国政府基于标准的漏洞管理数据存储库，其中的数据使用安全内容自动化协议表示。

       、
       VDB

       数据安全威胁数据库（也称为 BDU）是俄罗斯联邦技术出口管制局 (FSTEC) 维护的国家漏洞数据库。

       和
       RED OS

       俄罗斯通用操作系统 RED OS 支持扫描可能威胁服务和工作站功能的漏洞。

       漏洞数据库中的
       CVS

       通用漏洞评分系统是对漏洞进行评分的开放标准。CVSS 指定了一组用于对漏洞严重性进行评分的指标和公式，其值为 0（最小值）到 10（最大值）。通过 CVSS 可以根据漏洞严重程度分配漏洞响应工作。

       S 开放标准的漏洞严重程度分数，以及最终的综合漏洞严重程度分数。
   • “Artifacts”选项卡显示来自仓库和运行时或 CI/CD 对象的镜像工件的详细信息，并指示有多少个工件。

     来自仓库或运行时的镜像块显示以下信息：

     • 镜像对象类型和镜像的名称。如果自动配置文件是根据此镜像的校验和创建的，则自动配置文件图标 () 会出现在镜像名称旁边。

       通过单击镜像名称，您可以转到包含有关镜像扫描结果的详细信息的页面。

       要查看详细信息，您需要有查看镜像扫描结果的权限。

     • 镜像的操作系统。
     • 镜像的合规性状态：合规或不合规。
     • 风险评级。
     • 上次扫描图像的日期和时间
     • 在镜像中首次检测到漏洞的日期和时间。

     CI/CD 管道中对象的块显示以下信息：

     • 对象类型，对应于工件类型和对象名称。

       通过单击工件的名称，您可以转到包含有关项目构建阶段扫描对象结果的详细信息的页面。

       要查看详细信息，您需要有查看 CI/CD 流程中扫描对象的结果的权限。

     • 在其中扫描对象的操作系统。
     • 镜像的合规性状态：合规或不合规。
     • 风险评级。
     • 上次对象扫描的日期和时间。
     • 在对象中首次检测到漏洞的日期和时间。
     • 在 CI/CD 进程中扫描对象的时间戳。
   • 工作负载选项卡显示包含存在漏洞的镜像的 Pod 列表以及它们的数量。对于每个对象，提供了以下信息：
     • 包含在其中检测到漏洞的 Pod 镜像的集群的名称。
     • 包含在其中检测到漏洞的 Pod 镜像的命名空间的名称。

       如果您单击命名空间名称，解决方案将从图表中打开命名空间的侧面板。

     • 检测到漏洞的镜像的 Pod 名称。

       如果你单击命名空间名称，解决方案将从图表中打开 Pod 的侧面板。

   • 风险接受选项卡显示以下信息：
     • 风险接受日期。
     • 风险接受期间。
     • 子集。
     • 发起风险接受的人。
     • 接受风险的原因。

     如果您有权查看已接受的风险，则“风险接受”选项卡可用。

     对于每个接受的风险，您可以执行以下操作：

     • 单击 图标来设置风险接受的持续时间。
     • 单击 图标来取消风险接受。

     此选项卡还可让您使用“添加风险接受”按钮为漏洞添加风险接受。

     需要“管理风险”权限才能编辑风险接受设置。

[Topic 294285]

有关检测到的恶意软件的详细信息

如果镜像扫描检测到恶意软件，解决方案会在包含镜像扫描结果信息的页面上显示这一情况。要查看有关检测到的恶意对象的详细信息，请在包含镜像扫描结果的窗口中选择“恶意软件扫描”选项卡。

对于每个对象，解决方案都会生成 MD5 或 SHA256 哈希，并指示检测到该对象的位置的路径。

您可以在

卡巴斯基 OpenTIP 门户上的威胁描述页面公开可用。用户必须输入其账户凭据才能访问卡巴斯基 TIP。

[Topic 293438]

镜像的错误配置控制

卡巴斯基容器安全可使用配置文件扫描器检测配置文件中的错误配置。该扫描器可以扫描包含 IaC 文件的镜像、文件系统和存储库（例如，Terraform、CloudFormation、Azure ARM 模板、Helm Chart 和 Dockerfile 包）。

卡巴斯基容器安全可扫描以下配置文件：

• Kubernetes 对象的配置文件。
  • Pod
  • ReplicaSet
  • ReplicationController
  • 部署
  • DeploymentConfig
  • StatefulSet
  • DaemonSet
  • CronJob
  • Job
  • Services
  • ConfigMaps
  • 角色和 СlusterRoles 权限和命令
  • ClusterRoleBindings 和 RoleBindings
  • 网络策略（Ingress 和 Egress 连接）
• 集群组件的配置文件。
• 镜像的配置文件。
• Amazon 云环境服务的配置文件。
  • Amazon IAM 策略
  • API Gateway
  • Amazon Athena
  • Amazon CloudFront
  • Amazon CloudTrail
  • Amazon CloudWatch
  • Amazon CodeBuild
  • Amazon Config
  • Amazon DocumentDB 数据库
  • Amazon DynamoDB Accelerator
  • Amazon Elastic Compute Cloud
  • AWS Elastic Container Registry
  • Amazon Elastic Container Service
  • Amazon Elastic File System
  • Amazon Elastic Kubernetes Service
  • Amazon ElastiCache
  • Amazon Elasticsearch
  • Amazon Elastic Load Balancing
  • Amazon Elastic MapReduce
  • Amazon Identity and Access Management
  • Amazon Kinesis
  • Amazon Key Management Service
  • Amazon Lambda
  • Amazon MQ Broker
  • Amazon Managed Streaming for Apache Kafka
  • Amazon Neptune
  • Amazon Relational Database Service
  • Amazon Redshift
  • Amazon Simple Storage Service
  • Amazon Serverless Application Model
  • Amazon Simple Notification Service
  • Amazon Simple Queue Service
  • Amazon Secrets Manager
  • Amazon Workspaces
• Azure 云环境服务的配置文件。
  • Azure App Service
  • Azure Compute
  • Azure Container Service
  • Azure SQL Database
  • Azure Data Factory
  • Azure Data Lake
  • Azure Key Vault
  • Azure Monitor
  • 负责 Azure 的网络交互的服务
  • Azure Security Center
  • Azure Storage
  • Azure Synapse Analytics
  • Azure IAM policies
• DigitalOcean 云环境的配置文件。
• ApacheCloudStack 云环境的配置文件。
• Terraform GitHub Provider 的配置文件。
• Google 云环境服务的配置文件。
  • Google BigQuery
  • Google Compute Engine
  • Google Cloud DNS
  • Google Cloud IAM 策略
  • Google Cloud Key Management Service
  • Google Cloud SQL
  • Google Cloud Storage
• Nifcloud Provider 的配置文件。
  • 计算
  • DNS
  • NAS
  • 网络
  • Rdb
  • SSL 证书
• OpenStack 的配置文件。
  • 计算
  • 网络
• Oracle Compute Cloud 的配置文件。

以下表格列出了卡巴斯基容器安全支持的配置文件的类型和配置文件格式。

配置文件的类型和格式

[Topic 271977]

关于风险评级

卡巴斯基容器安全软件进行扫描后，会对扫描对象进行风险评级。扫描时，解决方案可能会检测到对象中包含的以下全部或部分安全问题：

• 漏洞
• 恶意软件
• 敏感数据
• 错误配置

根据安全威胁的严重程度，对检测到的每个风险分配以下风险等级之一：

• 可忽略。
• 低。
• 中。
• 高。
• 严重。

如果扫描过程中未检测到安全问题，则该镜像被视为安全并被标记为“正常”。

检测到的漏洞、恶意软件、敏感数据或错误配置的风险等级与用于扫描的安全威胁数据库中指定的等级相对应（例如，NVD 和数据安全威胁数据库）。这些漏洞和威胁数据库使用特殊的评分标准来评估安全威胁的严重程度。例如，NVD 中应用了通用漏洞评分系统 (CVSS)。

在所有已检测到的对象中，该对象的严重程度最高，风险评级也最高。

例如，在对象扫描期间检测到以下安全威胁：

• 严重程度较低的漏洞；
• 严重程度高且至关重要的敏感数据；
• 中等严重程度的配置错误；
• 低严重程度的恶意软件。

此处，如果检测到的威胁的严重程度为最高，则对应的风险等级为严重。

[Topic 250391]

风险处理

卡巴斯基容器安全识别的威胁（漏洞、恶意软件、敏感数据和错误配置）受风险接受程序的约束。如果您接受某个威胁的风险，在指定的接受期限内确定镜像安全状态（符合/不符合安全策略）时，保障策略将不会考虑该威胁。镜像扫描会继续检测威胁，但不会将该镜像标记为不合规。

如果您接受在镜像中检测到的漏洞的风险，则对于特定镜像仓库也接受此风险。如果接受镜像中所有漏洞的风险，则该镜像将被视为符合安全策略要求并获得“合规”状态。

如果更改应用于镜像的保障策略设置，镜像安全状态也会随之更改。

默认情况下，接受威胁风险的期限为 30 天。您可以延长将风险视为接受的期限。您也可以随时取消风险接受。如果取消风险接受，关联的威胁将再次影响镜像的安全状态。

您可以在“策略 → 风险接受”部分中查看所有已接受风险的列表。

[Topic 292001]

风险接受

您可以接受该解决方案发现的风险，但需考虑以下几点：

• 如果存在漏洞、配置错误和敏感数据，您可以接受所有严重程度的风险。
• 如果出现恶意软件，您只能接受中等、低和可忽略严重程度级别的风险。

  您不能接受严重程度为高和严重的风险。

您可以在以下部分中接受风险：

• 在镜像扫描结果窗口中，可以接受通过扫描特定镜像检测到的与所有威胁类型（漏洞、恶意软件、错误配置和敏感数据）相关的风险。
• 在调查→漏洞部分，接受解决方案检测到的所有漏洞的风险。接受与扫描过程中检测到的所有工件（包括 CI/CD 对象）相关的风险。

要接受风险，就需要有风险管理权限。

要根据镜像扫描结果接受风险：

1. 在镜像扫描结果窗口中，打开包含所需威胁类型的信息的选项卡。
2. 在表中，选择一个威胁并单击风险接受栏中的接受按钮。
3. 在打开的窗口中，指定风险接受参数：
   • 选择风险接受程度：
     • 对于选定的检测到风险的镜像；
     • 对于包含已检测安全威胁的镜像的存储库中的所有镜像；
     • 对于已经或将要检测到此安全威胁的所有镜像。
   • 请指定一个期限，在此之后当确定镜像安全状态时必须再次考虑该安全风险。
   • 指定接受风险的原因。
4. 单击“接受”按钮。

选定的威胁在定义的天数（或无限期）内不会影响该特定镜像、存储库中的镜像或所有镜像的安全状态。

可以在“策略 → 风险接受”部分查看已接受的风险。

要接受检测到的漏洞的风险：

1. 单击以下部分之一中的漏洞记录 ID：
   • 在进行扫描结果窗口的漏洞选项卡上。
   • 在调查→漏洞部分中。
2. 在打开的侧栏中，转到风险接受选项卡。

   如果您有权查看已接受的风险，则“风险接受”选项卡可用。

3. 单击添加风险接受按钮。
4. 在打开的窗口中，指定风险接受参数：
   • 选择风险接受程度：
     • 对于选定的工件（镜像或 CI/CD 对象）
     • 对于包含检测到漏洞的对象的存储库
     • 对于当前检测到此漏洞的工件
     • 对于所有工件，包括解决方案在后续扫描中可能发现的工件。

     无论范围如何，都承担风险。

   • 指定 1 至 999 天的时间段，在此时间段之后将撤销对此漏洞的风险接受。默认情况下，期间为 30 天。
   • 指定接受风险的原因。
5. 单击“添加”按钮。

漏洞的接受风险显示在风险接受选项卡上。它也可以在策略 → 接受的风险部分中查看。

[Topic 292012]

查看有关接受的风险的信息

所有接受的风险的列表显示在“策略 → 风险接受”部分中。

您可以使用该列表执行以下操作：

• 按风险名称、存储库名称、镜像或检测到风险的资源进行搜索。
• 按风险类型和制造商修复可用性对列表进行筛选。
• 单击表格上方的“创建报告”按钮来生成风险接受报告。
• 按接受日期、风险名称、范围（适用于所有镜像或仅一个镜像）和接受期限对列表进行排序。使用 () 排序图标进行排序。
• 查看有关风险接受和相关威胁的详细信息。单击风险名称链接可打开包含相关详细信息的窗口。

使用详细信息窗口中的按钮可执行以下操作：

• 请指定或延长考虑此安全威胁的期限，且在此之后需在确定镜像安全状态时再次考虑该安全风险。
• 取消风险接受。

您还可以在镜像扫描结果中的检测到的威胁列表中查看有关接受的风险的信息。在已接受风险的威胁行中，您可以找到接受风险的时间。您还可以单击链接打开一个窗口，其中包含有关风险接受和相关威胁的详细信息。

有关特定漏洞的风险接受的信息也显示在调查→漏洞部分中包含解决方案检测到的所有漏洞列表的表格中。风险接受列显示接受风险的工件（镜像、CI/CD 对象）的数量。

要查看漏洞的已接受风险，您需要“查看已接受风险”的权限。
无论范围如何，都会显示有关已接受风险的信息。

风险接受选项卡上的漏洞详细描述中提供了有关特定漏洞的每个接受风险的更多详细信息。

[Topic 292016]

取消风险接受

要取消风险接受：

1. 在以下部分之一中，打开包含检测到风险的对象列表的表格：
   • 在镜像扫描结果窗口中与风险相对应的选项卡上。
   • 在调查→漏洞部分中。
2. 选择一个风险，然后单击风险接受栏中的编辑按钮。

   编辑按钮仅针对先前接受的风险显示。

3. 单击“撤销”按钮并在打开的窗口中确认操作。

您还可以通过单击 风险接受选项选项卡上的 图标从包含漏洞详细信息的窗口撤销对漏洞的风险接受。

取消风险接受意味着相关威胁将再次影响接受了风险的镜像的安全状态。

[Topic 279524]

扫描镜像中的 Java 软件包

卡巴斯基容器安全可以扫描注册表镜像中包含的 Java 软件包。为此，该解决方案使用 Java 漏洞数据库。

可以用卡巴斯基容器安全 v1.2.1 及更高版本扫描 Java 软件包。如果您安装了早期版本，则必须将解决方案更新到 v1.2.1. 才能使用此功能。

您可以通过设置 values.yaml 文件中ENABLE_JAVA_VULN环境变量的值来配置 Java 软件包的扫描。如果ENABLE_JAVA_VULN = true，卡巴斯基容器安全将使用 Java 漏洞数据库执行扫描。如果ENABLE_JAVA_VULN = false，则不会扫描 Java 软件包。

默认情况下，ENABLE_JAVA_VULN被设置为false。

从版本 v1.2.1 开始，分发套件中提供的 kcs-updates 组件包含 Java 漏洞数据库。使用此组件时，您应该确保 values.yaml 文件中的环境变量定义如下：

ENABLE_JAVA_VULN = true
KCS_UPDATES_TAG=vХ.Х.Х （版本变量值根据解决方案的版本指定）
KCS_UPDATES=true

如果 Java 软件包扫描被激活（ENABLE_JAVA_VULN = true），kcs-scanner 解决方案组件将下载 Java 漏洞数据库并相应地通知 kcs-middleware 和 kcs-ih 组件。然后，kcs-ih 组件从kcs-scanner 接收数据库文件，组装并验证数据库，并在扫描期间使用它。

使用 Java 漏洞数据库发现的漏洞显示在镜像扫描结果中。

卡巴斯基容器安全还可以在使用外部扫描器时在 CI/CD 过程中扫描外部注册表中的镜像中的 Java 软件包。在这种情况下，您必须使用带有 vХ.Х.Х-with-db-java 标签的扫描器，其中包含预安装的 Java 漏洞数据库。所指定扫描器的配置和使用与 vХ.Х.Х-with-db 扫描器类似。

[Topic 290879]

调查安全事件

为了调查容器中发生的事件和镜像中检测到的漏洞，卡巴斯基容器安全可让您执行以下操作：

• 分析容器取证。该解决方案可让您根据正在运行的进程、文件操作、网络流量和检测到的恶意软件识别容器中的事件。
• 分析漏洞。该解决方案可生成静态分析仓库镜像、运行时镜像扫描和 CI/CD 对象期间检测到的漏洞列表。

[Topic 291028]

分析容器取证

在调查 → 容器取证部分，卡巴斯基容器安全可让您组织在容器中发生的事件以供进一步分析。有关事件的信息以表格的形式呈现。

如果您有权查看事件，则此部分可用。

在表中，解决方案显示有关事件的以下信息：

• 事件的日期和时间。
• 事件类型 — 进程、文件操作、网络流量或文件威胁防护。
• 有关事件的其他信息，以以下方式显示：
  • 对于进程启动，显示在容器中执行的命令
  • 对于文件操作，指示操作类型（例如，写入或删除）
  • 对于网络流量，显示流量的来源和目的地，即来源的 Pod 或域的名称、端口和 IP 地址
  • 对于文件威胁防护组件生成的事件，显示检测到的恶意软件的名称。
• 运行时策略模式 — 审计或强制。
• 要启动的容器可执行文件的完整路径和名称。对于文件操作，文件路径显示为执行任何操作的容器的文件系统中的文件或目录的名称和位置。

通过使用筛选器，您可以自定义表中信息的显示，如下所示：

• 按事件类型：
  • 按运行进程
  • 按文件操作
  • 按网络流量
  • 按由文件威胁防护组件检测到的恶意软件
• 按事件的时间（您必须指定事件的日期和时间）。解决方案默认显示当天的事件。
• 按事件数据或路径（您需要在搜索字段中输入数据或路径）。

通过单击表中的事件行，您可以展开侧边栏以查看有关所选事件的详细信息。

[Topic 293485]

搜索容器取证

在调查 → 容器取证下面，您可以搜索在容器中发生的事件。

要查找发生在容器中的安全事件：

在按事件数据和路径搜索字段中，输入搜索的事件数据。

根据事件类型，您必须指定以下内容：

• 容器 ID 或者容器名称（适用于所有事件类型）。
• 文件路径（适用于进程、文件操作或者文件威胁防护事件）。
• IP 地址或者域名（适用于网络流量类型的事件）。

解决方案在调查 → 容器取证部分的安全事件表中显示搜索结果。

[Topic 292170]

关于正在运行的进程的详细信息

要打开有关正在运行的进程的详细信息：

1. 在调查 → 容器取证部分的安全事件表中单击进程事件行中的任意地方。
2. 在打开的侧栏中，转到“信息”选项卡。

卡巴斯基容器安全显示以下信息：

• 常规信息部分包含常规信息：
  • 进程开始的日期和时间。
  • 用于启动进程的命令，包括参数。
  • 文件或目录的路径。
  • 运行时策略模式。
• 位置详细信息部分包含有关在其中启动该进程的容器的以下信息：
  • 容器 ID 和名称。
  • 镜像名称和校验和。您可以通过单击相关镜像的名称打开包含镜像扫描结果的页面。

    要查看镜像扫描的结果，您需要有查看镜像扫描结果的权限。您还需要访问集群的范围。

  • Pod 名称。您可以通过单击 Pod 的名称显示 Pod详情。

    查看和管理集群资源需要相应权限。您还需要访问相应的范围。

  • 命名空间名称。
  • 集群名称。
  • 主机名和 IP 地址。
• 进程部分包含有关正在运行的进程的以下数据：
  • 父进程 ID (PPID)
  • 进程 ID (PID) 和新的 PID
  • 有效用户 ID (EUID)
  • 有效组 ID (EGID)
  • 组 ID (GID)
• 影响容器部分的运行时策略下面的表格显示可以应用于包含正在运行的进程的容器的所有运行时策略列表。对于每项策略，该解决方案显示该策略的名称及其模式。

  您可以通过单击策略名称打开包含所应用策略的详细描述的侧边栏。策略信息的显示方式与在图表上查看应用程序程序信息时所呈现的应用策略信息的显示方式类似。当查看策略信息时限制应用。

[Topic 292232]

关于文件操作的详细信息

要打开有关文件操作的详细信息，

1. 在调查 → 容器取证部分的安全事件表中单击文件操作事件行中的任意地方。
2. 在打开的侧栏中，转到“信息”选项卡。

卡巴斯基容器安全显示以下信息：

• 常规信息部分包含常规信息：
  • 执行文件操作的日期和时间。
  • 文件操作的类型（例如，创建或删除）。

    卡巴斯基容器安全中的文件操作示例

    卡巴斯基容器安全检测以下类型的文件操作：

    • 打开
    • 创建
    • 读取
    • 写入
    • 重命名或移动
    • 删除
    • 变更所有权
    • 更改访问权限
  • 文件或目录的路径。
  • 文件或目录的新路径（仅显示重命名或移动文件操作类型）。
  • 新权限（仅针对更改访问权限操作类型显示）。
  • 运行时策略模式。
  • 错误代码。
• 位置详细信息块提供有关在其中发现文件操作的容器的以下信息：
  • 容器 ID 和名称。
  • 镜像名称和校验和。您可以通过单击相关镜像的名称打开包含镜像扫描结果的页面。

    要查看镜像扫描的结果，您需要有查看镜像扫描结果的权限。您还需要访问集群的范围。

  • Pod 名称。您可以通过单击 Pod 的名称显示 Pod详情。

    查看和管理集群资源需要相应权限。您还需要访问相应的范围。

  • 命名空间名称。
  • 集群名称。
  • 主机名和 IP 地址。
• 进程部分包含有关在其中发现文件操作的进程的以下数据：
  • 父进程 ID (PPID)
  • 进程 ID (PID) 和新的 PID
  • 用户 ID (UID)
  • 组 ID (GID)
  • 有效用户 ID (EUID)
  • 有效组 ID (EGID)
  • 新所有者的 UID（仅针对更改所有权文件操作类型显示）。
  • 新所有者的 GID（仅针对更改所有权文件操作类型显示）。
• 影响容器部分的运行时策略下面的表格显示可以应用于在其中检测到文件操作的容器的所有运行时策略列表。对于每项策略，该解决方案显示该策略的名称及其模式。

  您可以通过单击策略名称打开包含所应用策略的详细描述的侧边栏。策略信息的显示方式与在图表上查看应用程序程序信息时所呈现的应用策略信息的显示方式类似。当查看策略信息时限制应用。

[Topic 292235]

关于网络流量的详细信息

要打开有关文件操作的详细信息，

1. 在调查 → 容器取证部分的安全事件表中单击网络流量事件行中的任意地方。
2. 在打开的侧栏中，转到“信息”选项卡。

卡巴斯基容器安全显示以下信息：

• 常规信息部分包含常规信息：
  • 执行文件操作的日期和时间。
  • 运行时策略模式。
  • 流量类型：Ingress 或 Egress 连接。
• 源部分包含有关连接的以下信息：
  • 连接源的 Pod 名称或域。您可以通过单击 Pod 的名称显示 Pod详情。

    查看和管理集群资源需要相应权限。您还需要访问相应的范围。

  • 网络流量来源的 IP 地址。
  • 用于连接的端口。
• 目的地部分包含有关连接的以下信息：
  • 网络流量接收者的 Pod 名称或域。您可以通过单击 Pod 的名称显示 Pod详情。
  • 网络流量接收者的 IP 地址。
  • 用于连接的端口。
• 位置详细信息部分提供有关在其中检测到网络流量的容器的以下信息：
  • 容器 ID 和名称。
  • 镜像名称和校验和。您可以通过单击相关镜像的名称打开包含镜像扫描结果的页面。

    要查看镜像扫描的结果，您需要有查看镜像扫描结果的权限。您还需要访问集群的范围。

  • Pod 名称。您可以通过单击 Pod 的名称显示 Pod详情。
  • 命名空间名称。
  • 集群名称。
  • 主机名和 IP 地址。
• 影响容器部分的运行时策略下面的表格显示可以应用于在其中检测到网络连接的容器的所有运行时策略列表。对于每项策略，该解决方案显示该策略的名称及其模式。

  您可以通过单击策略名称打开包含所应用策略的详细描述的侧边栏。策略信息的显示方式与在图表上查看应用程序程序信息时所呈现的应用策略信息的显示方式类似。当查看策略信息时限制应用。

[Topic 292237]

关于检测到的恶意对象的详细信息

要打开有关检测到的恶意的对象的详细信息：

1. 在调查 → 容器取证部分的安全事件表中单击文件威胁防护事件行中的任意地方。
2. 在打开的侧栏中，转到“信息”选项卡。

卡巴斯基容器安全显示以下信息：

• 常规信息部分包含常规信息：
  • 检测到恶意软件的日期和时间。
  • 恶意软件名称。
  • 检测到的恶意软件类型（例如病毒软件）。
  • 恶意软件的严重级别。
  • MD5 和 SHA286 格式的文件校验和。
  • 事件类型（例如，检测到的威胁）。
  • 文件或目录的路径。
  • 所有者 ID。
  • 对象 ID。
  • 运行时策略模式。
  • 文件拦截器模式（无论运行时策略模式如何，文件拦截器都会运行）。
• 位置详细信息部分包含有关在其中检测到恶意软件的容器的以下信息：
  • 容器 ID 和名称。
  • 镜像名称和校验和。您可以通过单击相关镜像的名称打开包含镜像扫描结果的页面。

    要查看镜像扫描的结果，您需要有查看镜像扫描结果的权限。您还需要访问集群的范围。

  • Pod 名称。您可以通过单击 Pod 的名称显示 Pod详情。

    查看和管理集群资源需要相应权限。您还需要访问相应的范围。

  • 命名空间名称。
  • 集群名称。
  • 主机名和 IP 地址。
• 进程部分包含有关在其中检测到恶意软件的进程的以下信息：
  • 进程 ID (PID) 和新的 PID
  • 有效用户 ID (EUID)
• 影响容器部分的运行时策略下面的表格显示可以应用于在其中检测到恶意软件的容器的所有运行时策略列表。对于每项策略，该解决方案显示该策略的名称及其模式。

  您可以通过单击策略名称打开包含所应用策略的详细描述的侧边栏。策略信息的显示方式与在图表上查看应用程序程序信息时所呈现的应用策略信息的显示方式类似。当查看策略信息时限制应用。

[Topic 292240]

对运行时策略的限制

对于每种事件类型，卡巴斯基容器安全都会显示可应用于在其中发现安全事件的容器的所有运行时策略的列表。对策略列表的访问受到以下限制：

• 如果用户拥有管理运行时策略的权限并拥有与策略作者相同的角色，则该用户可以访问有关策略的所有信息，还可以编辑运行时策略设置。
• 如果用户被授予查看运行时策略的权限，则该用户可以访问有关策略的所有信息。
• 如果用户没有被授予查看运行时策略的权限，则用户无法打开运行时策略的详细描述。用户只能访问侧栏中“信息”选项卡上有关应用的运行时策略列表的信息以及安全事件的详细描述。

[Topic 292233]

调查容器取证同时解释相邻事件

在调查事件时，应该关注并分析相关事件前后发生的事件。

要查看相关事件之前和之后发生的事件：

1. 在调查 → 容器取证部分的安全事件表中单击事件行中的任意地方。
2. 转到相邻事件选项卡。

默认情况下，解决方案会显示一个包含以下信息的表格：

• 正在审查的事件。
• 3 起在所检查事件之前发生的事件。
• 46 起在所检查事件之后发生的事件。

对于每个事件，您还可以查看 90 天范围内的事件。例如，如果您正在查看当天的事件，则可以打开过去 90 天的事件。如果有关事件发生在 45 天前，您可以打开被检查事件前 45 天发生的事件。

对于表中的每个事件，解决方案显示以下信息：

• 事件的日期和时间。
• 事件类型。
• 关于事件的其他信息
• 完整路径。

您可以通过单击表中的事件行打开有关所选事件的详细信息的侧边栏。

您还可以下载有关所有事件的信息，其中包含每个事件的详细描述（文本格式）。

[Topic 290891]

分析检测到的漏洞

卡巴斯基容器安全通过对仓库镜像、运行时中的镜像扫描和 CI/CD 对象进行静态分析来检测漏洞。为了分析之目的，检测到的漏洞的完整列表以表格的形式显示在调查→漏洞部分中。

表格列出了每个检测到的漏洞的以下内容：

• 漏洞列包含漏洞条目的 ID。通过点击标识符，您可以打开一个页面，其中包含有关在镜像中检测到的漏洞的详细信息。
• 严重性列显示检测到的漏洞的严重级别以及其是否被利用。
• 资源列包含在其中检测到漏洞的资源的名称。
• 供应商修复方案列显示供应商是否提供了针对该漏洞的修复方案。解决方案显示具有修复方案的版本号，或指示无可用的修复方案。
• 工件列显示卡巴斯基容器安全扫描的工件数量（仓库和运行时环境中的镜像以及 CI/CD 对象）。

  该解决方案根据所选范围的imagename:tag显示唯一镜像的数量。确定工件数量时，应用以下规则：

  • 如果基于imagename:tag的镜像是基于资源和集群的范围的资源的一部分，则该镜像被计算一次。
  • 如果用户有权访问基于集群的范围的资源，但无权访问该范围内基于仓库的资源，则只计算运行时中的镜像数量。
  • 如果在范围筛选器中指定全部，则会显示所有范围的工件总数。
  • 只有在使用全局范围时，CI/CD 工件才可计数。
• 工作负载列显示包含存在漏洞的镜像的 Pod数量。

使用筛选器，您可以选择要在调查→漏洞部分的表格中显示的漏洞。

[Topic 291052]

选择要显示的漏洞

要使用表格上方的筛选按钮选择要在表格中显示的漏洞：

1. 单击带有您想要显示的值的筛选按钮。漏洞可以根据以下标准进行选择：
   • 按检测位置划分的漏洞：
     • 仓库中的镜像。
     • 在运行时中部署的镜像。
     • CI/CD 对象。
   • 按严重级别划分的漏洞：
     • 可忽略。
     • 低。
     • 中。
     • 高。
     • 严重。

   默认情况下，选择所有检测位置和漏洞严重级别。

2. 如有必要，请使用“禁用” / “启用”开关来启用或禁用仅显示可被利用的漏洞。默认情况下，该开关设置为“已禁用” 。
3. 如有必要，请在搜索字段中输入漏洞 ID 或资源名称。

要使用筛选器选择在表中显示的漏洞：

1. 单击表格上方包含用户列表的筛选器图标 () 。
2. 在打开的侧边栏中，使用“禁用” / “启用”开关来启用或禁用仅显示可被利用的漏洞。默认情况下，该开关设置为“已禁用” 。
3. 要确定严重级别，请选择以下选项之一：严重级别或分数，然后执行以下操作：
   • 如果选择“严重级别” ，请选择具有要显示的值的按钮。您可以选择以下显示值：
     • 可忽略。
     • 低。
     • 中。
     • 高。
     • 严重。

     默认情况下，选择所有漏洞严重性级别。

   • 如果选择“分数”，请使用滑块来定义漏洞分数。可用值从 0 到 10。解决方案将显示与指定漏洞分数相匹配的漏洞。
4. 对于供应商修复方案设置，指定供应商是否提供修复方案：全部、可用或不可用。默认值为全部。
5. 对于风险接受设置，指定所选漏洞是否已在指定资源中被接受：全部、接受或不接受。默认值为全部。
6. 对于位置详细信息设置，指定检测到漏洞的位置：
   • 仓库中的镜像。
   • 在运行时中部署的镜像。
   • CI/CD 对象。

   默认选择所有检测位置。

[Topic 291067]

与范围相关的限制

检测到的漏洞列表可以通过分配给用户的范围访问，如下所示。

• 如果用户被分配了全局范围，则用户可以访问有关检测到的漏洞的所有信息，包括 CI/CD 对象。
• 如果分配给用户的范围需要访问基于仓库的资源，则会向该用户显示工作负载列的值为 0 的漏洞。
• 如果分配给用户的范围需要访问基于集群的资源，则会向用户显示工作负载列的值大于 0 的漏洞。
• 如果分配给用户的范围需要访问基于仓库和集群的资源，则会向该用户显示工作负载列的值大于或者等于 0 的漏洞。

[Topic 282364]

与第三方资源的集成

为了识别安全问题并确保对容器化应用程序的保护，卡巴斯基容器安全可以与以下第三方资源集成：

• 外部镜像仓库。该解决方案允许扫描托管在存储库管理和存储平台上的容器和 IaC 镜像（包括作为 CI/CD 进程的一部分），以查找是否存在漏洞、恶意软件、错误配置和敏感数据。
• 镜像签名验证器。卡巴斯基容器安全可以使用外部签名应用程序验证镜像的数字签名。
• 输出。在实施响应策略时，解决方案可以通过电子邮件或 Telegram 发送消息通知用户有关安全事件。
• 外部 LDAP 目录服务。在定义用户角色和范围时，解决方案允许根据来自外部目录服务的数据配置用户帐户，并将用户角色映射到 Active Directory 中的用户组。
• SIEM 系统。卡巴斯基容器安全允许连接到安全信息与事件管理系统，以就事件发出通知用于分析和进一步应对潜在威胁。
• HashiCorp Vault 外部存储。该解决方案允许通过 HashiCorp Vault 安全地存储和使用密码、令牌和机密。

[Topic 292431]

设置与外部镜像仓库的集成

卡巴斯基容器安全可以扫描以下外部镜像仓库中的镜像：

• Harbor
• GitLab 仓库
• JFrog Artifactory
• Sonatype Nexus Repository OSS
• Yandex Registry
• Docker Hub
• Docker 仓库

  与 Docker Registry 集成需要外部仓库服务器端的 Docker Registry V2 API 的支持。

• Red Hat Quay
• Amazon Elastic Container Registry

您需要配置解决方案与外部仓库的集成，以便解决方案可以扫描外部仓库的镜像。可以自动或手动扫描与卡巴斯基容器安全集成的仓库中的镜像，具体取决于为每个仓库配置的镜像拉取和扫描设置。

[Topic 295773]

与仓库的集成的最低充分权限

要与外部镜像仓库集成，卡巴斯基容器安全账户必须拥有一组特定权限，这些权限根据仓库类型的不同而有所不同。下面列出了每种仓库类型的集成所需的最低账户权限。

GitLab

要将解决方案与 GitLab 用户仓库集成，您需要定义如下参数值：

• 项目或组中的用户角色：报告人。
• 项目访问级别：报告人。
• 分配给用户令牌的权限：read_api、read_registry。

JFrog Artifactory

要将解决方案与 JFrog 用户仓库集成，您需要定义如下参数值：

• 项目或组中的用户角色：管理报告。
• 项目访问权限：可以更新配置文件。
• 用户权限：读取任何存储库的权限（ANY 存储库）。

Harbor

要将解决方案与 Harbor 用户仓库集成，您需要定义如下参数值：

• 成员类型：用户。为此，请在“项目 → 成员”部分的表的“成员类型”列中指定“用户”。
• 项目或组中的用户角色：权限有限的用户。为此，您必须在“项目 → 成员”部分的表的“角色”列中指定“来宾”。
• 用户权限：无管理员权限的用户。为此，您必须在用户部分的表的管理员列中选择“否”部分。

Nexus

要将解决方案与 Nexus 用户仓库集成，您需要定义如下参数值：

• 项目或组中的用户角色：用户。
• 分配给项目或组中用户角色的权限：nx-apikey-all、nx-repository-view-docker-*-browse、nx-repository-view-docker-*-read。

Docker Hub

在使用用户名和密码进行授权后，解决方案即与 Docker Hub 用户的仓库集成。

此 Docker Hub 仓库集成选项仅适用于个人命名空间。

RedHat Quay

要将解决方案与 RedHat Quay 用户仓库集成，需要以下权利和权限：

• 正确操作测试连接功能的用户权限：具有管理组织权限的用户。
• 查看所有可见存储库权限。
• 读/写任何可访问的存储库权限。

Yandex

要将解决方案与 Yandex 用户仓库集成，您需要定义如下参数值：

• 项目或组中的用户角色：container-registry.viewer。
• 授予项目或组中的用户角色的权限：查看容器仓库。

Amazon Elastic Container Registry

要将解决方案与 Amazon Elastic Container Registry 用户仓库集成，您应该定义如下参数值：

• 用于访问项目或组的 AWS 策略： AmazonEC2ContainerRegistryReadOnly。
• 授予项目或组中的用户角色的权限：查看和读取。

[Topic 294428]

未经授权使用公共仓库

未经授权，卡巴斯基容器安全 2.0 无法使用公共仓库。例如，匿名访问 Docker Hub 时，您无法使用该解决方案来扫描镜像。

如果您未在公共仓库中授权，则可以在集群中使用此类镜像仓库，将它们添加到卡巴斯基容器安全，并手动将其分配到特定范围。如果范围仅包含一个或多个您无权使用的公共仓库，并且您尝试在“资源 → 仓库”部分中添加镜像，则解决方案将显示错误，指示因为该解决方案未与仓库集成，所以无法添加镜像。

[Topic 292488]

添加与外部镜像仓库的集成

集成的仓库仅支持直接包含镜像的本地镜像存储库。在版本 2.0 中，卡巴斯基容器安全不支持使用远程或虚拟存储库。

要添加与外部仓库的集成：

1. 在“管理 → 集成 → 镜像仓库”部分中，单击“添加仓库”按钮。

   将打开集成设置窗口。

2. 在“仓库详细信息”选项卡上，指定连接到仓库的设置：
   1. 输入仓库的名称。
   2. 如果需要，请输入仓库的描述。
   3. 从下拉列表中选择仓库类型。卡巴斯基容器安全支持以下类型的仓库：
      • Harbor（使用 Harbor V2 API 进行集成）。
      • GitLab Registry（使用 GitLab Container Registry API 进行集成）。
      • JFrog Artifactory（使用 JFrog API 进行集成）。
      • Sonatype Nexus Repository OSS（使用 Nexus API 进行集成）。
      • Yandex Registry（使用 Yandex Container Registry API 进行集成）。
      • Docker Hub（使用 Docker Hub API 进行集成）。
      • Docker Registry（使用 Docker Registry V2 API 进行集成）。
      • Red Hat Quay（使用 Red Hat Quay API 集成）。
      • Amazon Elastic Container Registry（使用 Amazon Elastic Container Registry API 进行进程）。

      如果配置与 Sonatype Nexus Repository OSS、Harbor、JFrog Artifactory（使用端口或子域）或 Yandex Registry 的集成，可以使用 Docker Registry V2 API 访问 Docker 仓库。与 GitLab Registry、Docker Hub 和 JFrog Artifactory 进行集成（通过存储库路径） 不受支持。

   4. 如果您设置了 JFrog Artifactory 注册表集成，请在“存储库路径”方法下拉列表中选择以下方法之一来访问 Docker：
      • 存储库路径。
      • 子域。
      • 端口。
   5. 如果配置与 Sonatype Nexus Repository OSS 仓库的集成，请选择拉取模式：标记的镜像或所有镜像。如果选择了所有镜像模式，解决方案将提取所有仓库镜像，无论它们是否有标签。未标记的镜像与内部版本哈希一起显示。
   6. 如果配置与 JFrog Artifactory、Harbor、GitLab Registry、Sonatype Nexus Repository OSS、Docker Registry 或者 Red Hat Quay 等仓库的集成，请输入直接指向容器仓库的仓库的完整 URL。我们建议使用 HTTPS 连接（也支持 HTTP 连接）。

      如果使用 HTTP 或者带自签名证书或无效证书的 HTTPS，则应在安装了服务器和扫描器的节点上选中 Docker 引擎的不安全仓库框。

   7. 如果配置与 JFrog Artifactory、Harbor、GitLab Registry、Sonatype Nexus Repository OSS 或者 Red Hat Quay 等仓库的集成，请输入指向仓库 API 的完整 URL。
   8. 选择一种身份验证方法并指定必要的数据，如下所示：
      • 如果您配置与 GitLab Registry 等仓库的集成，请选择使用帐户或访问令牌进行身份验证。
      • 如果您配置与 Yandex Registry 等仓库的集成，请选择使用 API 密钥（Yandex OAuth 令牌）或使用用户名和令牌进行身份验证。使用 Yandex OAuth 令牌时，为用户名指定oauth；使用 Yandex IAM 令牌时，为用户名指定iam。
      • 对于 Sonatype Nexus Repository OSS 和 Docker Hub 等仓库，仅使用账户进行身份验证。
      • 对于像 Harbor 这样的仓库，只允许使用用户或机器人的账户进行身份验证。
      • 对于Docker Registry 这样的仓库，身份验证仅使用用户名和密码进行，用户名和密码由 Docker V2 API 提供。
      • 对于 Red Hat Quay 仓库，组织名称和访问令牌是唯一的身份验证方法。请在组织名称和OAuth 令牌字段中指定这些参数。
      • 对于 Amazon Elastic Container 仓库，您可以通过指定地区、访问密钥 ID 和 Secret 访问密钥进行身份验证。

        在地区字段中，您必须指定一个 Amazon Web Services 地区（例如， us-west-2 或 us-east-2）。

        对于访问密钥 ID 和访问密钥设置，您必须使用 AWS 管理控制台指定可以获取的值。

3. 必要时，转到存储库缓存 选项卡并使用已禁用/已启用拨动开关来启用存储库缓存。如果缓存被禁用，则仅当使用搜索字段时才会显示仓库部分中的存储库和镜像。如果缓存已启用，解决方案将显示可用的存储库和镜像列表。默认储存库被禁用。

   启用存储库缓存可能影响卡巴斯基容器安全的性能。

4. 转到镜像扫描详情选项卡并指定以下镜像扫描设置：
   • 对于此仓库的镜像的扫描超时（以分钟为单位）。默认扫描超时为 60 分钟。

     如果镜像扫描持续时间超过指定时间，扫描将停止，并且镜像将返回扫描队列。解决方案会将镜像重新排队最多 3 次。这意味着扫描仓库中镜像所需的时间可能会增加两倍。

     仓库的镜像拉取和扫描设置。默认情况下，在“拉取并扫描镜像”中已选择“手动”选项：镜像不会自动从仓库中拉取，但用户可以手动将镜像添加到镜像列表中进行扫描。新镜像会自动排队等待扫描。

     如果您希望自动从仓库中拉取镜像并使其排队等待扫描，请在“拉取并扫描镜像”中选择“自动”，并配置镜像拉取和扫描的设置。以下选项可用：

     • 扫描间隔（天）是供扫描的仓库的镜像拉取间隔（以天为单位）。默认设置为 1 天。
     • 扫描时间 (GMT) 是仓库中的镜像被扫描的时间。
     • 如有必要，每次扫描新镜像时选择复选框重新扫描之前拉取的镜像。
     • 如有必要，在高级设置下面，选择名称 / 标签标准复选框来使用镜像名称或标签样式指定想要拉取或扫描的镜像。如果选中此复选框，卡巴斯基容器安全将仅拉取与指定模式匹配的镜像并进行扫描。

       您可以使用以下模式：

       • 按镜像名称和标签 – <名称><:标签>
       • 仅按镜像名称 – <名称>
       • 仅按镜像标签 – <:标签>

       例如：

       • 对于 alpine 模式，所有名称为“alpine”的镜像都会被拉取，无论标签为何；
       • 对于 4 模式，所有带有标签 4 的镜像都会被拉取，无论镜像名称为何；
       • 对于 alpine:4 模式，所有名称为“alpine”且带有标签 4 的镜像都会被拉取。

       生成模式时，可以使用 * 字符来替代任意数量的字符。

       您可以添加一个或多个模式。

     • 选择附加条件之一拉取镜像：
       • 如果不需要附加条件，请选择“无附加条件”。
       • 如果您只想拉取在特定时间框架内创建的镜像，请选择此选项并在右侧的字段中指定时间段的持续时长和计量单位。默认情况下，期间为 60 天。
       • 如果您只想下载包含最新标签的镜像，从创建镜像的日期开始计数，选择此选项并在右侧的字段中指定想要考虑多少个每个仓库的最新标签。
     • 如有必要，在例外下面，选择或者清除复选框以指定镜像拉取的例外：
       • 从不拉取具有名称/标签模式的镜像 – 使用您可以指定的镜像名称/标签模式，这些镜像将从拉取和扫描中排除。
       • 始终拉取具有名称/标签模式的镜像 – 使用您可以指定的镜像名称/标签模式，始终拉取和扫描这些镜像，无论上面设置的其他条件如何。
5. 单击“测试连接”以查看是否可以建立与仓库的连接。
6. 单击窗口顶部的“保存”按钮保存仓库集成设置。

Red Hat Quay 仓库集成设置示例

[Topic 292566]

查看有关与仓库的集成的信息

您可以在“管理 → 集成 → 镜像仓库”部分中查看与卡巴斯基容器安全集成的所有仓库的列表表格。

该表显示有关集成仓库的以下信息：

• 镜像仓库集成的名称。
• 描述（如果在创建与镜像仓库的集成时曾指定）。
• 已连接仓库的类型。
• 仓库 URL。
• 最后一次连接到镜像仓库的状态：成功或错误。如果显示错误，解决方案还会显示连接错误的简要描述。

在表格中，您可以：

• 添加新的仓库集成。单击表格上方的“添加仓库”以打开集成设置窗口。
• 查看和修改仓库集成设置，包括镜像拉取和扫描设置。您可以单击仓库名称链接来打开编辑窗口。

  在此窗口中，您还可以单击“测试连接”以查看是否可以与仓库建立连接。

• 删除与仓库的集成。

[Topic 274590]

删除与外部仓库的集成

要删除与外部仓库的集成：

1. 在“管理 → 集成 → 镜像仓库”部分中，通过选中包含仓库名称的行中的复选框来选择要删除的集成。您可以选择一个或多个集成。
2. 单击表格上方的删除。

   选择一个或多个集成后， “删除”按钮将变为启用状态。

3. 在打开的窗口中，确认删除。

卡巴斯基容器安全不会扫描不再与其集成的仓库中的镜像。

[Topic 272923]

Harbor 集成

卡巴斯基容器安全与外部 Harbor 仓库的集成通过两种方式进行：

• 和与其他外部仓库集成的方式相同
• 根据外部 Harbor 仓库的要求

Harbor 将解决方案视为一个附加的外部扫描器，用于扫描对象中是否存在漏洞。与卡巴斯基容器安全的集成使用 Harbor 扫描器插件进行配置。该解决方案将这个自动创建的镜像仓库命名为Harbor External Integration，并使用 Harbor 图标（）标记其所在的存储库。

此集成仍然是唯一自动创建的 Harbor 集成，并且分配给镜像仓库的名称无法更改。

要启动 Harbor 扫描进程，您需要知道卡巴斯基容器安全 API 的端点。

要通过 Harbor 请求创建集成，需要有在 CI/CD 中查看和配置扫描的权限。如果缺少这些权限，Harbor 将无法将解决方案连接为扫描仪并作为CI/CD 进程的一部分扫描对象。

[Topic 273008]

根据 Harbor 请求创建集成

要通过 Harbor 请求创建仓库集成，您必须拥有具有管理员权限的 Harbor 帐户，以及在卡巴斯基 Container Security 中查看和配置 CI/CD 中的扫描的权限。如果没有这些权限，Harbor 将无法将该解决方案作为扫描仪连接。

要在请求 Harbor 时创建 Harbor 集成：

1. 从 Harbor Web 界面左侧窗格的主菜单中，选择“管理” → “询问服务”。
2. 单击新扫描仪按钮。
3. 输入以下信息：
   • 在 Harbor 界面上显示的解决方案集成的唯一名称。
   • 如果有必要，正在被添加的外部扫描器的描述。
   • Harbor 显示的卡巴斯基容器安全 API 端点的地址。
4. 在授权下拉列表中，选择APIKey作为将仓库连接到解决方案时的授权方法。
5. 在APIKey字段中，输入API 令牌的值。

   如果 API 令牌发生变化，则必须在开始 Harbor 扫描之前指定其新值。如果未在 Harbor 中的外部扫描器设置中添加新的 API 令牌，则扫描失败。

6. 选择跳过证书验证复选框以跳过证书验证。
7. 如有必要，单击“测试连接”验证 Harbor 是否可以连接到解决方案。
8. 单击“添加”创建集成。

在管理→询问服务→扫描仪下的可用扫描仪列表中，Harbor 显示分配给 Harbor 中解决方案的名称。

如果新的扫描仪在 Harbor 中被指定为默认扫描仪或被分配给项目，则它将被用于扫描对象。这两个选项都需要在 Harbor 中进行额外配置。

扫描启动后，将在外部仓库中创建通过 Harbor 请求与解决方案的集成。卡巴斯基容器安全在管理 → 集成→镜像仓库部分的镜像仓库列表中，显示已创建的 Harbor External Integration 仓库。包含来自外部仓库的镜像的存储库标有Harbor图标 ( ）。在外部仓库中启动并运行另一次扫描后，Harbor External Integration 会进行更新。

您无法使用管理控制台中的添加镜像按钮将镜像添加到 Harbor 自动创建的镜像仓库中。

Harbor External Integration 扫描可以手动启动，也可以从外部仓库自动启动。您无法从卡巴斯基容器安全中的 Harbor 自动创建的镜像仓库中开始扫描或重新扫描镜像。

Harbor 外部集成仓库（以及作为与 Harbor 标准集成的一部分创建的仓库）根据适用的扫描器策略进行扫描。

在扫描结束时，解决方案会生成在扫描选定对象期间发现的漏洞的报告并将其发送给 Harbor。如果发送报告需要超过五秒（例如，由于网络连接质量），则在外部注册表界面中会显示接收扫描结果的错误。

[Topic 273028]

查看和编辑 Harbor External Integration 设置

Harbor External Integration 镜像仓库显示在管理 → 集成→镜像仓库部分中与卡巴斯基容器安全集成的注册表列表中。

要更改 Harbor External Integration 设置：

1. 在管理 → 集成→镜像仓库部分的镜像仓库列表中，选择 Harbor External Integration 仓库。
2. 指定以下可配置设置的值：
   • 仓库详细信息选项卡上的描述。
   • 镜像扫描详细信息选项卡上的扫描超时。

   您不能更改其他 Harbor External Integration 注册表详细信息。

3. 单击“保存”。

[Topic 273010]

重新扫描

收到扫描结果后，无法将 Harbor External Integration 仓库中的对象发送给卡巴斯基容器安全进行重新扫描。重新扫描只能从 Harbor 发起。

如果您从卡巴斯基容器安全创建与 Harbor 的集成，并且创建的镜像仓库与 Harbor External Integration 类似，则以下规则将被应用于重新扫描：

• 扫描解决方案中创建的仓库中的对象不会触发 Harbor External Integration 中重新扫描。
• 扫描 Harbor External Integration 中的对象不会触发在解决方案中创建的仓库中重新扫描。

[Topic 267228]

与 CI/CD 的集成

卡巴斯基容器安全性允许您在 CI/CD 流程中扫描驻留在代码存储库管理系统中的容器和 IaC 的镜像，以检测漏​​洞、恶意软件、错误配置和暴露的敏感数据。

在存储库管理系统的项目构建阶段，您可以运行卡巴斯基容器安全扫描器来检查存储库中的对象是否符合已启用的安全策略。扫描器通过代理（例如 GitLab 中的 GitLab Runner）从仓库启动。有关扫描作业和发送扫描结果的的数据通过应用程序编程接口 (API) 转发。

在项目构建阶段运行对象扫描时，必须确保在应用的保障策略的设置中未选择“使 CI/CD 失效”步骤。如果激活此设置，解决方案将在扫描期间通知您出错。

扫描结果显示在“清单 → CI/CD → 在 CI/CD 中扫描”部分的镜像列表中。

对于表中的每个对象，卡巴斯基容器安全都显示以下内容：

• 上次扫描的日期和时间。
• 名称。
• 风险评级。
• 摘要扫描结果，指示与漏洞、恶意软件、敏感数据和错误配置相关的已识别对象。
• 构件类型。
• 在其中扫描镜像的构建的编号和管道。

在“资源 → CI/CD → 在 CI/CD 中扫描”部分中，还可以生成有关在 CI/CD 进程内扫描的镜像的报告。

仅针对镜像构件类型的对象生成报告。在此部分中，无法为其他类型的构件生成报告。

[Topic 296997]

在 CI/CD 过程中扫描镜像

卡巴斯基容器安全允许您扫描 CI/CD 中使用的镜像。要从 CI/CD 扫描镜像，您应该配置卡巴斯基容器安全与 CI/CD 过程的集成。

通过监听和拦截网络流量获得的数据必须在 CI/CD 环境和解决方案之间安全传输。

要扫描 CI/CD 过程中使用的镜像或存储库（为了扫描配置文件），请向运行卡巴斯基容器安全扫描器的 CI/CD 管道添加一个阶段。

要从 CI/CD 扫描镜像，请在用于集成存储库的配置文件中，指定扫描器的 API_BASE_URL（ 卡巴斯基容器安全 API 服务器的网址）和 API_TOKEN（用于访问卡巴斯基容器安全 API 的令牌）环境变量。您还必须指定API_CA_CERT（用于验证 API 解决方案的主机服务器的证书）或SKIP_API_SERVER_VALIDATION=true以跳过此扫描。

扫描结果将被转发到服务器并显示在管理控制台的“资源 → CI/CD”部分中。提供的表格会列出被扫描的镜像，显​示风险评估的结果，并指示检测到的漏洞。

您可以单击镜像名称链接来打开包含镜像扫描结果详细信息的页面。此页面类似于显示仓库镜像扫描结果的页面。

卡巴斯基容器安全还显示每个对象的构件的类型。使用两种主要构件：

• 文件系统是包含配置文件的存储库。
• 容器镜像是用于容器运行时实现的模板。

对于每个扫描对象，您可以指定内部版本编号（BUILD_NUMBER）和内部版本

对于 CI/CD 镜像，不提供重新扫描。

卡巴斯基容器安全在 CI/CD 中执行以下类型的扫描：

• 扫描镜像仓库中的镜像。该解决方案在成功内部版本后运行扫描并将镜像保存到镜像仓库中。
• 扫描 TAR 存档中的镜像。TAR 存档存储为内部版本构件，解决方案将在下一个构建管道中扫描该构件。
• 扫描 Git 存储库，可以通过以下方式之一执行：
  • 针对 Git 存储库中的项目分支（单个开发路径）
  • 针对提交（项目时间线中的状态快照或检查点）

要扫描镜像仓库的镜像：

运行以下格式的命令来启动扫描：

/scanner [TARGET] --stdout

其中：

• <TARGET> – 注册表中映像的完整地址。
• <--stdout> 是到安全事件日志的输出。

要访问注册表，您必须在环境变量中设置登录名COMPANY_EXT_REGISTRY_USERNAME和密码（令牌）COMPANY_EXT_REGISTRY_PASSWORD。
要使用证书与注册表建立安全连接，您必须在 COMPANY_EXT_REGISTRY_TLS_CERT 环境变量中将证书详细信息指定为 .PEM 格式的以下字符串： -----BEGIN CERTIFICATE-----\n... 证书数据 > ...\n-----END CERTIFICATE----- 。

GitLab CI/CD和Jenkins CI/CD中扫描镜像的示例。

要从 TAR 存档扫描镜像：

1. 使用任何用于创建容器化镜像的应用程序构建镜像并将其保存为 TAR 存档。
2. 运行以下格式的命令来启动扫描：

   /scanner [TARGET] --file --stdout

   其中：

   • <TARGET> – 包含要扫描的镜像的文件的路径。
   • <--file> – 表示扫描TARGET文件的标志。
   • <--stdout> 是到安全事件日志的输出。

   包含用于扫描 TAR 存档的设置的配置文件示例

   stages:

   - build_tar

   - scan_tar

   - push_image

   build_tar：

   stage: build_tar

   tags:

   - k8s

   - docker

   image:

   name: gcr.io/kaniko-project/executor:v1.9.0-debug

   entrypoint: [""]

   dependencies:

   - scan_source_branch

   - scan_source_commit

   script:

   - mkdir -p /kaniko/.docker

   - echo "${DOCKER_AUTH_CONFIG}" > /kaniko/.docker/config.json

   - /kaniko/executor

   --context "${CI_PROJECT_DIR}"

   --dockerfile "${CI_PROJECT_DIR}/Dockerfile"

   --destination "${CI_REGISTRY_IMAGE}:${CI_COMMIT_REF_NAME}"

   --compressed-caching=false

   --build-arg GITLAB_USER=gitlab-ci-token

   --build-arg GITLAB_TOKEN=${CI_JOB_TOKEN}

   --no-push

   --tarPath=image.tar

   artifacts:

   paths:

   - image.tar

   expire_in: 2 hours

   scan_tar:

   stage: scan_tar

   tags:

   - k8s

   - docker

   dependencies:

   - build_tar

   image:

   name: "company.gitlab.cloud.net:5050/companydev/example/scanner:master-with-db"

   pull_policy: always

   entrypoint: [""]

   variables:

   API_BASE_URL: ${API_BASE_URL}

   API_TOKEN: ${API_TOKEN}

   API_CA_CERT: ${KCS_CA_CERT}

   script:

   - /scanner image.tar --file --stdout

   artifacts:

   paths:

   - image.tar

   expire_in: 2 hours

   push_image:

   stage: push_image

   tags:

   - k8s

   image:

   name: gcr.io/go-containerregistry/crane:debug

   entrypoint: [""]

   dependencies:

   - scan_tar

   script:

   - mkdir -p $HOME/.docker

   - echo "${DOCKER_AUTH_CONFIG}" > $HOME/.docker/config.json

   - /ko-app/crane push image.tar "${CI_REGISTRY_IMAGE}:${CI_COMMIT_REF_NAME}"

要扫描 Git 存储库：

1. 在 Git 存储库的配置文件中，在环境变量中指定用于访问存储库的令牌（GITHUB_TOKEN或GITLAB_TOKEN）。
2. 运行以下格式的命令来启动扫描：

   /scanner [TARGET] --repo [--branch BRANCH] [--commit COMMIT] --stdout

   其中：

   • <TARGET> – Git 存储库的网址 (URL)。
   • <--repo> – 表示扫描TARGET文件的标志。
   • <--branch BRANCH> – 要扫描的存储库的分支。
   • <--commit COMMIT> – 要扫描的提交所对应的哈希值。
   • <--stdout> 是到安全事件日志的输出。

   带环境变量的配置文件示例，用于从 Git 存储库扫描镜像

   stages:

   - scan_source_branch

   - scan_source_commit

   scan_source_branch:

   stage: scan_source_branch

   image:

   name: "company.gitlab.cloud.net:5050/companydev/example/scanner:master-with-db"

   pull_policy: always

   entrypoint: [""]

   tags:

   - k8s

   - docker

   variables:

   API_BASE_URL: ${API_BASE_URL}

   API_TOKEN: ${API_TOKEN}

   API_CA_CERT: ${KCS_CA_CERT}

   script:

   - GITLAB_TOKEN=${CI_JOB_TOKEN} /scanner --repo ${CI_REPOSITORY_URL} --branch ${CI_COMMIT_BRANCH} --stdout

   scan_source_commit:

   stage: scan_source_commit

   image:

   name: "company.gitlab.cloud.net:5050/companydev/example/scanner:master-with-db"

   pull_policy: always

   entrypoint: [""]

   tags:

   - k8s

   - docker

   variables:

   API_BASE_URL: ${API_BASE_URL}

   API_TOKEN: ${API_TOKEN}

   API_CA_CERT: ${KCS_CA_CERT}

   script:

   - GITLAB_TOKEN=${CI_JOB_TOKEN} /scanner --repo ${CI_REPOSITORY_URL} --commit ${CI_COMMIT_SHA} --stdout

扫描结果可以在“资源 → CI/CD”中查看，或以 .SPDX、.JSON 和 .HTML 格式下载。

[Topic 297122]

配置与 GitLab CI/CD 的集成

此示例使用特定的扫描器镜像，其内置漏洞数据库位于卡巴斯基容器安全制造商的镜像仓库中。

要在 GitLab CI/CD 过程中使用镜像扫描功能，您应该启用 GitLab 容器仓库。

集成配置包括以下步骤：

1. 对卡巴斯基容器安全制造商的镜像仓库中的 GitLab CI/CD 授权。
   1. 在集群操作员的工作站上，运行以下命令准备授权数据的 Base64 哈希：

      printf "login:password" | openssl base64 -A

      其中 login 和 password 是卡巴斯基容器安全制造商的镜像仓库中账户的用户名和密码。

   2. 在 GitLab CI/CD 环境变量中，创建 DOCKER_AUTH_CONFIG 变量（在 GitLab 存储库中选择“设置 → CI/CD”，单击“展开”按钮展开变量 ，然后单击“添加变量”按钮）。
   3. 按以下形式指定变量：

      {

      "auths": {

      "repo.cloud.example.com": {

      "auth": "base64hash"

      }

      }

      }

      其中 base64hash 是步骤 1a 中获得的字符串。

2. 将数据发送到卡巴斯基容器安全时对来自 GitLab CI/CD 的请求进行授权。
   1. 复制“我的个人资料”页面上的 API 令牌。
   2. 在 .gitlab-ci.yml 配置文件的 API_TOKEN 变量中指定复制的 API 令牌值。
3. 将镜像扫描阶段添加到 CI/CD 过程中。

   要将扫描添加到 CI/CD 管道，您应该将以下行添加到 .gitlab-ci.yml 文件中：

   1. 在代码构建阶段后，按以下形式添加有关包含漏洞和其他恶意对象数据库的扫描器镜像的信息：

      scan_image:

      stage: scanner

      image:

      name: repo.cloud.example.com/repository/company/scanner:v2.0-with-db

      entrypoint: [""]

      pull_policy: always

      我们建议始终指定 pull_policy 参数，以便在每次扫描时接收包含更新的漏洞和其他恶意对象数据库的相关构建。

   2. 指定用于对卡巴斯基容器安全的 CI/CD 扫描器请求进行授权的标签、内部版本 ID、管道 ID 和 API 令牌，如下所示：

      SCAN_TARGET: ${CI_REGISTRY_IMAGE}:master

      BUILD_NUMBER: ${CI_JOB_ID}

      BUILD_PIPELINE: ${CI_PIPELINE_ID}

      API_TOKEN: <API 令牌值>

      下面的示例包含master(主)标签，您还可以指定其他标签。

   3. 如果为私有存储库配置扫描，请指定授权数据以确保扫描器能够访问镜像。授权数据可以设置为变量。

      COMPANY_EXT_REGISTRY_USERNAME: ${COMPANY_EXT_REGISTRY_USERNAME}

      COMPANY_EXT_REGISTRY_PASSWORD: ${COMPANY_EXT_REGISTRY_PASSWORD}

   4. 要使用证书与注册表建立安全连接，请将COMPANY_EXT_REGISTRY_TLS_CERT环境变量中的证书数据指定为 .PEM 格式的字符串：

      -----BEGIN CERTIFICATE-----\n... <证书详细信息> ...\n-----END CERTIFICATE-----.

   5. 指定以下用于通过代理服务器进行通信的参数：

      HTTP_PROXY – <用于 HTTP 请求的代理服务器>

      HTTPS_PROXY – <用于 HTTPS 请求的代理服务器>

      NO_PROXY – <要从代理范围排除的域或合适的域掩码>

   6. 如需要，请指定一个变量，以使用入口控制器的 CA 证书检查 CI/CD 中的数据接收服务器：

      API_CA_CERT: ${KCS_CA_CERT}
       
      Ingress 控制器的 CA 证书在文本字段中指定为 .PEM 格式的字符串：
       
      ----- BEGIN CERTIFICATE ----- \n... <certificate details> ...\n ----- END CERTIFICATE -----
       
      如果未设置 API_CA_CERT 变量，则扫描将会开始但无法完成。
       
      使用入口控制器的 CA 证书，可以让在 CI/CD 中运行的扫描器验证数据接收服务器的真实性。
       
      如果您使用自签名证书，或者想要跳过使用入口控制器的 CA 证书检查数据接收服务器这一步骤，请指定变量的值以跳过检查，如下所示：
       
         SKIP_API_SERVER_VALIDATION: 'true'
       

   7. 指定卡巴斯基容器安全的 API 主机服务器的网址：

      API_BASE_URL – <网址>

      variables:

      API_BASE_URL: ${API_BASE_URL}

      script:

      - /bin/sh /entrypoint.sh $SCAN_TARGET --stdout > artifact-result.json

      artifacts:

      paths:

      - artifact-result.json

配置与外部仓库的集成后，您可以在 CI/CD 过程中扫描镜像，包括在 SBOM 模式下扫描。扫描结果可以在“资源 → CI/CD”中查看，或以 .SPDX、.JSON 和 .HTML 格式下载。

[Topic 297198]

配置与 Jenkins CI/CD 的集成

配置与 Jenkins CI / CD 的集成包括以下步骤：

1. 对卡巴斯基容器安全制造商镜像仓库中的 Jenkins CI/CD 授权。为此，在集群操作员的工作站上，运行以下命令以准备授权数据的 Base64 哈希：

   printf "login:password" | openssl base64 -A

   其中 login 和 password 是卡巴斯基容器安全制造商的镜像仓库中账户的用户名和密码。

2. 卡巴斯基容器安全 API 授权。要执行授权，请完成以下步骤：
   1. 复制“我的个人资料”页面上的 API 令牌。
   2. 在 Jenkinsfile 配置文件的 API_TOKEN 变量中指定复制的 API 令牌值。
3. 使用 Ingress 控制器的 CA 证书对 CI/CD 中的数据接收服务器进行身份验证。要执行身份验证，请在 Jenkinsfile 配置文件中指定以下变量之一：
   1. -e API_CA_CERT=${KCS_CA_CERT}表示身份验证已执行，并且在 CI/CD 中启动的扫描器可以确保接收服务器是真实的。
   2. -e SKIP_API_SERVER_VALIDATION=true表示不使用 Ingress 控制器的 CA 证书对接收服务器进行身份验证。
4. 创建 Jenkins 环境变量。

   要创建环境变量，请将以下行添加到 Jenkinsfile：

   1. 添加扫描器所在容器仓库的信息，如下所示：

      LOGIN：扫描器仓库中的账户名称

      PASS：扫描器仓库的密码

   2. 如果为私有存储库配置扫描，请指定以下授权数据，以确保扫描器能够访问镜像：

      COMPANY_EXT_REGISTRY_USERNAME：扫描镜像仓库的账户名称

      COMPANY_EXT_REGISTRY_PASSWORD：扫描镜像仓库的密码

   3. 要使用证书与注册表建立安全连接，请将COMPANY_EXT_REGISTRY_TLS_CERT环境变量中的证书数据指定为 .PEM 格式的字符串：

      -----BEGIN CERTIFICATE-----\n... <证书详细信息> ...\n-----END CERTIFICATE-----.

   4. 指定以下用于通过代理服务器进行通信的变量：

      HTTP_PROXY – <用于 HTTP 请求的代理服务器>

      HTTPS_PROXY – <用于 HTTPS 请求的代理服务器>

      NO_PROXY – <要从代理范围排除的域或合适的域掩码>

5. 添加信息以启动扫描器。对于有关启动包含漏洞和其他恶意对象数据库的扫描器的信息，请以声明式或脚本式管道的形式将其添加到 Jenkinsfile 配置文件中。

   以声明式管道形式添加有关启动扫描器的信息的示例

   pipeline {

   agent any

   stages {

   stage('run scanner') {

   steps {

   sh 'docker login -u ${LOGIN} -p ${PASS} company.example.com'

   sh 'docker run -e API_BASE_URL=https://kcs.cust02.int.example.com/ -e SKIP_API_SERVER_VALIDATION=true -e API_TOKEN=${API_TOKEN} -e COMPANY_EXT_REGISTRY_USERNAME=${COMPANY_EXT_REGISTRY_USERNAME} -e COMPANY_EXT_REGISTRY_PASSWORD=${COMPANY_EXT_REGISTRY_PASSWORD} company.example.com:5050/company/kcs/scanner:v2.0.0-with-db jfrog.company.com/demo-kcs/bad:bad-project-test --html --stdout > result.html'

   }

   }

   }

   }

   以脚本式管道形式启动扫描器的数据的示例

   node {

   stage ('run scanner') {

   sh 'docker login -u ${LOGIN} -p ${PASS} company.example.com'

   sh 'docker run -e API_BASE_URL=https://kcs.cust02.int.company.com/ -e API_CA_CERT=${KCS_CA_CERT} -e API_TOKEN=${API_TOKEN} -e COMPANY_EXT_REGISTRY_USERNAME=${COMPANY_EXT_REGISTRY_USERNAME} -e COMPANY_EXT_REGISTRY_PASSWORD=${COMPANY_EXT_REGISTRY_PASSWORD} company.example.com:5050/company/kcs/scanner:v2.0.0-with-db jfrog.company.com/demo-kcs/bad:bad-project-test --html --stdout > result.html'

   }

   }

6. 生成用于下载的构件。

   您可以生成 .HTML 或 .JSON 格式的下载构件，以接收扫描结果。您可以在 --stout 中指定构件格式，如下所示：

   pipeline {

   agent any

   stages {

   stage('run scanner') {

   steps {

   sh 'docker login -u ${LOGIN} -p ${PASS} company.example.com'

   sh 'docker run -e API_BASE_URL=https://kcs.int.company.com -e SKIP_API_SERVER_VALIDATION=true -e API_TOKEN=${API_TOKEN} -e COMPANY_EXT_REGISTRY_USERNAME=${COMPANY_EXT_REGISTRY_USERNAME} -e COMPANY_EXT_REGISTRY_PASSWORD=${COMPANY_EXT_REGISTRY_PASSWORD} company.example.com:5050/company/kcs/scanner:v2.0.1-lite jfrog.company.com/demo-kcs/bad:bad-project-test --html --stdout > result.html'

   }

   }

   stage('archive') {

   steps {

   archiveArtifacts artifacts: 'result.html'

   }

   }

   }

   }

   要生成 .JSON 格式的构件，请重写上方示例中的“--html --stdout> result.html”行，如下所示：

   --stdout > result.json'

   并在 archiveArtifacts artifacts 行中，以定义的格式指定文件名：“result.json”。

   扫描结果能以您指定的格式获取，也可以在“资源 → CI/CD”部分查看。

[Topic 297409]

配置与 TeamCity CI/CD 的集成

要配置与 TeamCity CI/CD 的集成：

1. 复制“我的个人资料”页面上的 API 令牌以在 TeamCity 中授权卡巴斯基容器安全 API 。
2. 在 TeamCity 网络界面的设置菜单中，选择构建配置主页 → 参数。
3. 单击添加新参数以添加以下环境变量的值：
   • API_TOKEN – 指定复制的卡巴斯基容器安全 API 令牌的值。
   • API_BASE_URL – 指定卡巴斯基容器安全的 URL。
   • RUST_BACKTRACE – 如有必要，请指定full以使用回溯。
   • SKIP_API_SERVER_VALIDATION – 如果您使用自签名证书或者需要使用 Ingress 控制器的 CA 证书跳过接收服务器的身份验证，请指定 true。
   • COMPANY_EXT_REGISTRY_USERNAME – 指定扫描镜像注册表中的账户名称。
   • COMPANY_EXT_REGISTRY_PASSWORD – 指定扫描镜像的注册表密码。
   • COMPANY_EXT_REGISTRY_TLS_CERT – 指定用于与注册表进行安全连接的证书的详细信息。

     证书详细信息以 .PEM 格式的字符串指定：
     -----BEGIN CERTIFICATE-----\n... 证书详细信息> ...\n-----END CERTIFICATE----- 。

   • HTTP_PROXY – 用于 HTTP 请求的代理服务器
   • HTTPS_PROXY – 用于 HTTPS 请求的代理服务器
   • NO_PROXY – 要从代理范围中排除的域或适当的域掩码
4. 转到构建配置主页→构建步骤：命令行部分，然后单击添加构建步骤以添加构建步骤。
5. 在打开的窗口中，指定以下构建步骤设置：
   • 在 Runner type 下拉列表中，选择命令行。
   • 在运行下拉列表中，选择自定义脚本。
   • 在自定义脚本字段中，指定用于扫描的容器的路径（例如，/bin/sh /entrypoint.sh nginx:latest）。
6. 在Docker 设置下，指定以下设置：
   • 在Docker 容器字段内的运行步骤中，指定扫描器在 Docker 仓库中的地址。例如，company.gitlab.cloud.net:5050/companydev/example/scanner:v2.0.0-with-db。
   • 在其他 docker run 参数字段中，将权限值增加为--privileged。
7. 单击“保存”以保存设置。
8. 单击页面右上角的运行开始构建。
9. 如有必要，请下载扫描结果构件，该工件可在 TeamCity Web 界面的构建扫描结果页面的构件选项卡上找到。

[Topic 265788]

定义容器镜像的路径

要开始扫描，解决方案需要确定需要扫描的容器镜像的路径。容器镜像的路径可以通过两种方式指定：

• 在仓库名称、存储库名称和镜像名称后面指定镜像标签。标签是镜像的可更改且易于阅读的描述。

  在本例中，路径如下所示：<仓库>/<存储库>/<镜像名称>:<标签>。例如，http://docker.io/library/nginx:1.20.1。

• 在仓库名称、存储库和镜像名称后面指定镜像摘要。摘要是镜像的一个不可或缺的内部属性，具体来说，是其内容的哈希（使用 SHA256 哈希算法）。

  使用摘要时，路径的构成如下：<仓库>/<存储库>/<镜像名称><摘要>。例如，http://docker.io/library/nginx@sha256:af9c...69ce。

一个标签可以匹配不同的摘要，而每个镜像的摘要都是唯一的。

根据用于指定镜像路径的方法，卡巴斯基容器安全在扫描前执行以下操作之一：

• 将标签转换为可信摘要。
• 检查镜像路径中指定的摘要是否可信。对于使用哈希算法编码的对象，如果在维持所需保护时，摘要可确保所需的置信度，则该摘要被视为可信。

只有可信摘要会发送到容器运行时。

在运行容器之前，会将镜像的内容与收到的摘要进行比较。为了确认摘要为可信并且镜像未损坏，卡巴斯基容器安全会检查镜像签名的完整性和真实性。

[Topic 263762]

监控镜像的完整性和来源

扫描 CI/CD 中的镜像时，卡巴斯基容器安全可在仓库级别防止镜像欺骗。从 CI 的构建阶段开始，通过验证镜像签名来控制部署在编排器集群中的容器镜像的完整性和来源。

镜像完整性监控分两个阶段：

• 创建容器镜像后对其进行签名。此过程使用外部签名应用程序实现。
• 部署镜像之前检查镜像签名。

  解决方案保存了一个基于 SHA256 哈希函数的签名密钥，并用作签名验证的代码。在编排器中部署时，卡巴斯基容器安全会要求签名服务器确认签名的真实性。

卡巴斯基容器安全按如下方式检查镜像签名：

1. 在“管理 → 集成 → 镜像签名验证器”部分中，可以配置将解决方案与外部镜像签名验证应用程序集成的设置。
2. 在“策略 → 运行时策略 → 策略”部分中，添加运行时策略来保护镜像的内容。该运行时策略会验证签名的真实性。数字签名根据配置的镜像签名验证器进行验证。
3. 编排器启动镜像部署，并使用
   动态准入控制器

   用于访问 Kubernetes 的可配置控制器，有助于执行策略并支持管理和控制系统。

   向代理 (kube-agent) 发出部署请求。

   要将请求发送到卡巴斯基容器安全代理，请在 values.yaml 配置文件中配置动态准入控制器。

4. 根据适用的运行时策略，代理会检查在“管理 → 集成 → 镜像签名验证器”部分中配置的签名验证设置。
5. 如果检查确认签名的真实性和有效性，解决方案将允许镜像部署。否则，部署将被阻止。

[Topic 297411]

在 SBOM 模式下运行扫描器

卡巴斯基容器安全可在

使用 SBOM 的优势如下：

• 扫描镜像是否存在漏洞所需的资源更少。
• 由于正确操作的自动验证和解决方案组件的正确使用，减少了扫描时间。
• 能够扫描镜像中的所有现有漏洞，无一例外。
• 扫描结果可靠性高。

在 CI/CD 中，扫描过程包括两个阶段：接收 SBOM 文件和根据收到的 SBOM 文件扫描镜像。镜像扫描过程实现如下：

• CI/CD 扫描器生成镜像组件列表，并将生成的构件发送到卡巴斯基容器安全。
• 使用镜像处理程序，解决方案将收到的 SBOM 文件转发到扫描器进行扫描。

  为了在 SBOM 模式下进行扫描，卡巴斯基容器安全会运行一个带有预装数据库的扫描器，该数据库包含关于漏洞和其他恶意对象的信息（scanner:v2.0-with-db，scanner:v2.0-with-db-java）。

要在 CI/CD 中进行镜像扫描，您必须在文件中指定以下环境变量的值：

• API_TOKEN – 指定卡巴斯基容器安全 API 令牌的值。
• API_BASE_URL – 指定卡巴斯基容器安全 URL。
• API_CA_CERT – 指定 Ingress 控制器的的 CA 证书详细信息，可以让在 CI/CD 中运行的扫描器验证数据接收服务器的真实性。如果您使用自签名证书，或者想要跳过使用 Ingress 控制器的 CA 证书检查数据接收服务器这一步骤，用以跳过检查的变量的值提供如下：

  SKIP_API_SERVER_VALIDATION: 'true'

• COMPANY_EXT_REGISTRY_USERNAME – 指定扫描镜像注册表中的账户名称。
• COMPANY_EXT_REGISTRY_PASSWORD – 指定扫描镜像的注册表密码。
• COMPANY_EXT_REGISTRY_TLS_CERT – 指定用于与注册表进行安全连接的证书的详细信息。

  证书详细信息以 .PEM 格式的字符串指定：
  -----BEGIN CERTIFICATE-----\n... 证书详细信息> ...\n-----END CERTIFICATE----- 。

• HTTP_PROXY – 用于 HTTP 请求的代理服务器
• HTTPS_PROXY – 用于 HTTPS 请求的代理服务器
• NO_PROXY – 要从代理范围中排除的域或适当的域掩码

对于后续扫描，卡巴斯基容器安全会生成 CycloneDX 格式的报告。您还可以生成一个包含 SBOM 的构件，以便在 CI/CD 过程中以

要在扫描器执行 SBOM 创建时生成 .SPDX 格式的 SBOM 文件：

在 .gitlab-ci.yml 配置文件中输入以下命令：

- /bin/sh /entrypoint.sh $SCAN_TARGET --sbom --spdx --stdout > example.spdx

其中：

<--sbom-json> 指示创建 SBOM 文件。

<--spdx> 指示以 .SPDX 格式生成构件。

<--stdout > example.spdx> 指示数据输出到 .SPDX 格式的文件。

要在扫描器执行 SBOM 创建时生成 .СDX 格式的 SBOM 文件：

在 .gitlab-ci.yml 配置文件中输入以下命令：

- /bin/sh /entrypoint.sh $SCAN_TARGET --sbom --cdx --stdout > example.cdx.json

其中：

<--sbom-json> 指示创建 SBOM 文件。

<--cdx> 指示以 .CDX 格式生成构件。

<--stdout > example.cdx.json> 指示数据输出到 .JSON 格式的文件。

生成的文件（例如 example.cdx.json）被指定为构件：artifacts: paths:

使用 SBOM 文件进行扫描仅适用于扫描镜像是否存在漏洞的情况。如果您的 CI/CD 过程需要扫描其他风险和威胁（例如错误配置），则除了 SBOM 文件之外，还必须单独运行相应的扫描并将其结果添加到镜像处理程序中。

[Topic 297412]

在精简版 SBOM 模式下运行扫描器

卡巴斯基容器安全可在精简版 SBOM 模式下启动扫描器来检查镜像中是否存在漏洞。在这种情况下，解决方案会扫描专门创建的 SBOM 文件，并且该扫描结果在 CI/CD 阶段可用。

通过监听和拦截网络流量获得的数据必须在 CI/CD 环境和解决方案之间安全传输。

您可以生成一个构件，用于以 .SPDX、.HTML、.JSON 或 .CDX 格式进行下载，从而获取结果。

在 GitLab 中运行扫描器

要在 GitLab 中精简版 SBOM 模式下启动扫描器，需在 CI/CD 进程中配置镜像扫描时编辑 .gitlab-ci.yml 配置文件，如下所示：

1. 添加在 CI/CD 中启动用于镜像扫描的扫描器的镜像相关信息，如下所示：

   scan_image:

   stage: scanner

   image:

   name:repo.cloud.example.com/repository/company/scanner:v.2.0-lite

   entrypoint: [""]

   pull_policy: always

2. 指定编排平台标签，如下所示：

   k8s

   在提供的示例中，为 Kubernetes 指定了 k8s 标签，您也可以为其他受支持的编排平台指定标签。

3. 指定内部版本 ID、扫描镜像的镜像仓库数据和用于安全连接到此仓库的证书、管道 ID 和授权来自卡巴斯基容器安全中的 CI/CD 扫描程序的请求的 API 令牌等变量，如下所示：

   SCAN_TARGET: ${CI_REGISTRY_IMAGE}:master

   COMPANY_EXT_REGISTRY_USERNAME: ${COMPANY_EXT_REGISTRY_USERNAME}

   COMPANY_EXT_REGISTRY_PASSWORD: ${COMPANY_EXT_REGISTRY_PASSWORD}

   COMPANY_EXT_REGISTRY_TLS_CERT: ${COMPANY_EXT_REGISTRY_TLS_CERT}

   BUILD_NUMBER: ${CI_JOB_ID}

   BUILD_PIPELINE: ${CI_PIPELINE_ID}

   API_TOKEN: <API 令牌值>

   HTTP_PROXY – <用于 HTTP 请求的代理服务器>

   HTTPS_PROXY – <用于 HTTPS 请求的代理服务器>

   NO_PROXY – <要从代理范围排除的域或合适的域掩码>

   COMPANY_EXT_REGISTRY_TLS_CERT变量中用于与镜像仓库进行安全连接的证书的详细信息以 .PEM 格式的字符串指定：
   -----BEGIN CERTIFICATE-----\n... 证书详细信息> ...\n-----END CERTIFICATE-----。

4. 如需要，请指定一个变量，以使用入口控制器的 CA 证书检查 CI/CD 中的数据接收服务器：

   API_CA_CERT: ${KCS_CA_CERT}

   如果未设置 API_CA_CERT 变量，则扫描将会开始但无法完成。

5. 指定卡巴斯基容器安全的 API 主机服务器的网址：

   API_BASE_URL: <网址>

6. 指定在扫描器用以下其中一种受支持的格式启动时创建构件的命令：
   • 要生成 .JSON 格式的构件：

     script:

     - /bin/sh /entrypoint.sh $SCAN_TARGET --stdout > artifact-result.json

     artifacts:

     paths:

     - artifact-result.json

   • 要生成 .HTML 格式的构件：

     script:

     - /bin/sh /entrypoint.sh $SCAN_TARGET --html --stdout > artifact-result.html

     artifacts:

     paths:

     - artifact-result.html

   • 要生成 .SPDX 格式的 SBOM 构件：

     script:

     - /bin/sh /entrypoint.sh $SCAN_TARGET --spdx --stdout > artifact-result.spdx

     artifacts:

     paths:

     - artifact-result.spdx

   • 要生成 .JSON 格式的 SBOM 构件：

     script:

     - /bin/sh /entrypoint.sh $SCAN_TARGET --cdx --stdout > artifact-result.cdx.json

     artifacts:

     paths:

     - artifact-result.cdx.json

有关将扫描器配置为在 GitLab 中精简版 SBOM 模式下运行并以 .HTML 格式生成构件的示例

在 Docker 中运行扫描器

要在 Docker 中以精简版 SBOM 模式启动扫描器：

1. 指定卡巴斯基容器安全的 API 主机服务器的网址：

   -e API_BASE_URL=https://company.local

2. 指定变量的值以跳过使用 Ingress 控制器的 CA 证书检查数据接收服务器：

   -e SKIP_API_SERVER_VALIDATION=true

3. 指定用于对卡巴斯基容器安全的 CI/CD 扫描器请求进行授权的 API 令牌，如下所示：

   -e API_TOKEN=<API 令牌值>

4. 指定要启动扫描器的数据：

   repo.kcs.company.com/images/scanner:v2.0-lite

5. 如果需要生成可供下载的构件，请指定以下内容：

   - <工件格式> --stdout> result. <文件格式>

   例如：

   --html --stdout > result.html

6. 按Enter键启动扫描器。

   如果在调用扫描仪时出现域名解析错误（Name does not resolve（名称无法解析）），则必须在组织的内部 DNS 服务器之前指定 API_BASE_URL 变量之前的地址。例如：

   --dns 10.0.xx.x

   API_BASE_URL: https://company.local/

有关将扫描器配置为在 Docker 中精简版 SBOM 模式下运行并以 .JSON 格式生成构件的示例

扫描结果能以您指定的格式获取，也可以在"资源 → CI/CD“部分查看。

[Topic 265362]

获取 JSON 或 HTML 格式的扫描结果

使用卡巴斯基容器安全来扫描 CI/CD 中的镜像时，可以生成包含扫描结果的构件并将其保存在 CI/CD 平台中。这可以使用与解决方案集成的外部存储库系统的配置文件来实现。例如，可以在 GitLab 中使用 .gitlab-ci.yml 配置文件。

您可以在以下场景中生成包含扫描结果的构件：

• 扫描器执行完整的 CI/CD 扫描时，扫描结果文件能以 .HTML 或 .JSON 格式生成。
• 通过创建 SBOM 运行扫描器时，包含扫描结果的文件能以 .SPDX 或 .JSON 格式生成。

要生成 .HTML 格式的扫描结果文件：

在 .gitlab-ci.yml 配置文件中输入以下命令：

- /bin/sh /entrypoint.sh $SCAN_TARGET --html --stdout > example.html

其中：

<--html> 指示以 .HTML 格式生成构件。

<--stdout > example.html> 指示数据输出到 .HTML 格式的文件。

要在执行完整的 CI/CD 扫描时生成 .JSON 格式的扫描结果文件：

在 .gitlab-ci.yml 配置文件中输入以下命令：

- /bin/sh /entrypoint.sh $SCAN_TARGET --stdout > example.json

其中：

<--stdout > example.json>指示数据输出到 .JSON 格式的文件。

生成的文件（例如 example.json）被指定为构件：artifacts: paths:

[Topic 281598]

开始扫描时指定 Secret

在 CI/CD 进程中启动扫描作业时，包含扫描器镜像（Kaspersky Container Security 相应版本的 lite 或 with-db 扫描器）的注册表只有在获得授权后才可访问。为了授权，您可以在扫描作业中传递所需的 Secret。

要在启动扫描作业时获得访问注册表的授权：

1. 创建 Secret：

   kubectl create secret docker-registry ci-creds --docker-server=client.repo.example.com --docker-username=username --docker-password=password

2. 在扫描作业中，指定imagePullSecrets变量的值：

   imagePullSecrets:

   - name: ci-creds

3. 开始扫描作业。

   带有授权 secret 的扫描作业示例

   kind: Job

   metadata:

   name: my-job

   spec:

   template:

   spec:

   containers:

   - name: my-container

   image: client.repo.example.com/scanner:master

   command: ["/bin/sh"]

   args: ["entrypoint.sh", "apline:latest"]

   env:

   - name: COMPANY_EXT_REGISTRY_USERNAME

   value: another_username

   - name: COMPANY_EXT_REGISTRY_PASSWORD

   value: another_password

   - name: API_BASE_URL

   value: https://some.kcs.env.example

   - name: API_TOKEN

   value: kcs_blablabla

   - name: SKIP_API_SERVER_VALIDATION

   value: 'true'

   imagePullPolicy: Always

   restartPolicy: Never

   imagePullSecrets:

   - name: ci-creds

   backoffLimit: 0

在此示例中，扫描作业包含以下 Secret：

• 用于下载扫描仪镜像的 secret（在imagePullSecrets变量中指定）。
• 如果对相关仓库的访问受到限制，则下载要扫描的镜像的密码（在COMPANY_EXT_REGISTRY_PASSWORD变量中指定）。

如果解决方案在运行扫描作业时获得访问权限的仓库可在未经授权的情况下访问，则可以省略这些密码。

[Topic 265760]

配置与镜像签名验证器的集成

卡巴斯基容器安全可以验证镜像数字签名的真实性和有效性。要使用此功能，您需要配置解决方案与一个或多个外部签名应用程序的集成。镜像摘要签名的细节、签名的位置以及保护签名的细节取决于您选择的签名应用程序。解决方案支持两种可配置的外部签名验证应用程序：

• Notary v1 是 Docker 开发的 Web 服务，用于确保容器在其生命周期各个阶段（包括签名的创建和后续存储阶段）的安全性。
• Cosign 是一项旨在为容器创建签名、验证签名以及将已签名的容器放入存储库种的 Web 服务。该工具是作为
  Sigstore

  该项目旨在开发和提供通过使用数字签名来验证软件的工具和服务。Sigstore 还维护一个公共仓库，用于确认镜像更改的真实性。

  项目的一部分开发的。

您可以在“管理 → 集成 → 镜像签名验证器”部分中配置与镜像签名验证器的集成。

[Topic 274593]

查看与签名验证器集成的列表

在管理→集成→镜像签名验证器 部分中，一个表格将显示，其中包含带有镜像签名验证器的所有已配置集成。

该表将显示有关集成镜像签名验证器的以下信息：

• 验证器名称
• 描述（如果在创建集成时曾指定）
• 镜像签名验证器的类型 - Notary v1 或 Cosign
• 镜像签名验证器连接的网址

在表格中，您可以：

• 添加新的与签名验证模块的集成。单击列表上方的“添加签名验证器”以打开集成设置窗口。
• 查看和编辑与镜像签名验证模块集成的设置。您可以单击验证模块名称上的链接来打开编辑窗口。
• 删除与镜像签名验证器的集成。

[Topic 265764]

添加与镜像签名验证器的集成

要添加与镜像签名验证器的集成：

1. 在“管理 → 集成 → 镜像签名验证器”部分中，单击“添加签名验证器”按钮。

   将打开集成设置窗口。

2. 在“常规信息”部分中，输入策略名称，并根据需要输入策略说明。
3. 在“类型”部分中，选择以下签名验证器之一：
   • Notary v1。
   • Cosign。
4. 根据所选的签名验证器，指定服务器身份验证凭据：
   • 对于 Notary v1，指定以下设置：
     • 网址 – 存储镜像签名的服务器的完整网址。
     • 签名服务器身份验证密钥名称 – 编排器密钥的名称，密钥中包含用于访问存储了镜像签名的服务器的凭据。

       该密钥必须位于卡巴斯基容器安全命名空间中。

     • 证书 – 用于存储签名的服务器的自生成证书。该证书以 .PEM 格式提供。
     • 委派 – 参与签署过程的签名持有者列表。
     • 在“受信任的根”下，指定解决方案将在签名验证期间检查的所有公钥对。密钥对包括密钥的名称和值。

       如有必要，可以单击“添加密钥对”按钮来添加其他密钥。解决方案最多支持 20 个密钥对。

   • 对于 Cosign，指定以下设置：
     • 签名服务器身份验证密钥名称 – 编排器密钥的名称，密钥中包含用于访问存储了镜像签名的服务器的凭据。

       该密钥必须位于卡巴斯基容器安全命名空间中。

     • 证书 – 用于存储签名的服务器的自生成证书。该证书以 .PEM 格式提供。
     • 在“受信任的根”下，指定解决方案将在签名验证期间检查的所有公钥对。密钥对包括密钥的名称和值。

       对于 Cosign，指定 cosign.pub 提供的 ECDSA 或 RSA 算法的公钥。

       如有必要，可以单击“添加密钥对”按钮来添加其他密钥。解决方案最多支持 20 个密钥对。

     • 在“签名要求”部分中，指定必须签署镜像的签名和签名持有者的最小数量。
5. 单击窗口顶部的“保存”按钮保存与镜像签名验证器的集成的设置。

您可以使用运行时策略中已配置的集成来确保对镜像内容的保护。

[Topic 265792]

查看和编辑与镜像签名验证器的集成的相关信息

要查看和编辑与镜像签名验证器集成的设置：

1. 在“管理 → 集成 → 镜像签名验证器”部分中，单击与签名验证器的集成列表中的集成名称链接。
2. 如有必要，在打开的窗口中编辑集成设置，这取决于所选的签名验证器，如下所示：
   • 对于 Notary v1，可以修改以下设置：
     • 验证器名称。
     • 描述。
     • URL。
     • 签名服务器身份验证密钥名称。
     • 证书。
     • 委派。
     • 密钥名称。
     • 密钥值。
   • 对于 Cosign，可以修改以下设置：
     • 签名服务器身份验证密钥名称。
     • 证书。
     • 密钥名称。
     • 密钥值。
     • 阈值。
     • 所需签名者。
3. 如有必要，单击“添加密钥对”按钮来添加密钥对。
4. 单击窗口上部的“保存”按钮。