OpenShift 文档正在迁移，很快将只在docs.redhat.com（所有 Red Hat 产品文档的所在地）提供。立即体验新的文档体验。
  1. 文档
    2. history bug_report picture_as_pdf
×

安全地使用容器注册表

容器注册表存储容器镜像到

  • 使镜像可供其他人访问

  • 将镜像组织到可以包含多个镜像版本的存储库中

  • 可以选择根据不同的身份验证方法限制对镜像的访问，或使其公开可用

有一些公共容器注册表，例如Quay.io和Docker Hub，许多人和组织都在那里共享他们的镜像。Red Hat Registry提供受支持的Red Hat和合作伙伴镜像，而Red Hat生态系统目录则提供这些镜像的详细描述和健康检查。要管理您自己的注册表，您可以购买容器注册表，例如Red Hat Quay。

从安全角度来看，一些注册表提供特殊的特性来检查和改进容器的健康状况。例如，Red Hat Quay提供使用Clair安全扫描器的容器漏洞扫描、在GitHub和其他位置的源代码更改时自动重建镜像的构建触发器，以及使用基于角色的访问控制（RBAC）来保护对镜像的访问。

了解容器的来源？

您可以使用一些工具来扫描和跟踪已下载和已部署的容器镜像的内容。但是，有很多公共容器镜像来源。使用公共容器注册表时，您可以通过使用受信任的来源添加一层保护。

不变和经过认证的容器

在管理不变容器时，使用安全更新尤其重要。不变容器是在运行时永远不会更改的容器。部署不变容器时，您不会进入正在运行的容器来替换一个或多个二进制文件。从操作角度来看，您会重建和重新部署更新的容器镜像来替换容器，而不是更改它。

Red Hat认证的镜像是

  • 没有平台组件或层中已知漏洞的

  • 在RHEL平台之间兼容，从裸机到云

  • Red Hat支持的

已知漏洞的列表不断发展，因此您必须随着时间的推移跟踪已部署容器镜像以及新下载镜像的内容。您可以使用Red Hat安全公告 (RHSAs)来提醒您Red Hat认证的容器镜像中任何新发现的问题，并引导您找到更新的镜像。或者，您可以访问Red Hat生态系统目录来查找每个Red Hat镜像的此类和其他安全相关问题。

从Red Hat Registry和生态系统目录获取容器

Red Hat在Red Hat生态系统目录的容器镜像部分列出了Red Hat产品和合作伙伴产品的认证容器镜像。从该目录中，您可以看到每个镜像的详细信息，包括CVE、软件包列表和健康评分。

Red Hat镜像实际上存储在所谓的Red Hat Registry中，它由公共容器注册表 (registry.access.redhat.com) 和经过身份验证的注册表 (registry.redhat.io) 表示。两者都包含基本上相同的容器镜像集，registry.redhat.io包含一些需要使用Red Hat订阅凭据进行身份验证的其他镜像。

Red Hat 持续监控容器内容中的漏洞并定期更新。当 Red Hat 发布安全更新（例如修复 *glibc*、DROWN 或 Dirty Cow 等）时，任何受影响的容器镜像也会重新构建并推送到 Red Hat Registry。

Red Hat 使用健康指数来反映通过 Red Hat 生态系统目录提供的每个容器的安全风险。由于容器使用 Red Hat 提供的软件和勘误过程，旧的、陈旧的容器是不安全的，而新的、最新的容器更安全。

为了说明容器的年龄，Red Hat 生态系统目录使用分级系统。新鲜度等级是衡量镜像可用的最旧和最严重的安全性勘误的指标。“A”级比“F”级更新。“A”比“F”更新。有关此分级系统的更多详细信息，请参阅 Red Hat 生态系统目录中使用的容器健康指数等级。

有关 Red Hat 软件相关的安全更新和漏洞的详细信息，请参阅 Red Hat 产品安全中心。查看 Red Hat 安全公告 以搜索特定公告和 CVE。

OpenShift 容器注册表

OpenShift Container Platform 包括 *OpenShift 容器注册表*，这是一个作为平台集成组件运行的私有注册表，您可以使用它来管理您的容器镜像。OpenShift 容器注册表提供基于角色的访问控制，允许您管理谁可以拉取和推送哪些容器镜像。

OpenShift Container Platform 还支持与您可能已经在使用的其他私有注册表集成，例如 Red Hat Quay。

其他资源

使用 Red Hat Quay 存储容器

Red Hat Quay 是 Red Hat 提供的企业级容器注册表产品。Red Hat Quay 的开发是通过上游 Project Quay 完成的。Red Hat Quay 可在本地部署，也可通过 Quay.io 上托管的 Red Hat Quay 版本部署。

Red Hat Quay 的安全相关功能包括：

  • 时间机器：允许在设定的时间段后或基于用户选择的时间到期时间使具有较旧标签的镜像过期。

  • 镜像仓库：允许您出于安全原因镜像其他注册表，例如在公司防火墙后面托管 Red Hat Quay 上的公共存储库，或者出于性能原因，使注册表更靠近其使用位置。

  • 操作日志存储：将 Red Hat Quay 日志输出保存到 Elasticsearch 存储或 Splunk 以便以后搜索和分析。

  • Clair：根据每个容器镜像的来源，针对各种 Linux 漏洞数据库扫描镜像。

  • 内部身份验证：使用默认本地数据库处理对 Red Hat Quay 的 RBAC 身份验证，或从 LDAP、Keystone (OpenStack)、JWT 自定义身份验证或外部应用程序令牌身份验证中选择。

  • 外部授权 (OAuth)：允许从 GitHub、GitHub Enterprise 或 Google 身份验证授权访问 Red Hat Quay。

  • 访问设置：生成令牌以允许从 docker、rkt、匿名访问、用户创建的帐户、加密的客户端密码或前缀用户名自动完成访问 Red Hat Quay。

Red Hat Quay 与 OpenShift Container Platform 的持续集成仍在进行中，其中一些 OpenShift Container Platform 运算符尤其值得关注。Quay Bridge 运算符 允许您将内部 OpenShift 镜像注册表替换为 Red Hat Quay。Red Hat Quay 容器安全运算符 允许您检查从 Red Hat Quay 注册表中提取的在 OpenShift Container Platform 中运行的镜像的漏洞。