3. 镜像扫描工具：Trivy、Clair、Anchore的安装与基础使用

容器镜像作为云原生应用的主要交付物，其安全状态直接决定了生产环境的整体风险水平。在冷启动削峰场景下，镜像扫描工具需要具备快速启动、低资源占用、高并发吞吐的能力。本章聚焦三款主流开源镜像扫描器——Trivy、Clair 与 Anchore Engine，从安装部署到基础使用进行对比实践。

3.1 工具选型对比

3.2 Trivy 安装与基础使用

3.2.1 安装方式

方式一：二进制安装（推荐用于 CI/CD）

# 下载最新版本
wget https://github.com/aquasecurity/trivy/releases/download/v0.50.1/trivy_0.50.1_Linux-64bit.tar.gz
tar zxvf trivy_0.50.1_Linux-64bit.tar.gz
sudo mv trivy /usr/local/bin/

# 验证安装
trivy --version

方式二：容器运行（推荐用于 Kubernetes 环境）

# 单次扫描
docker run --rm -v /var/run/docker.sock:/var/run/docker.sock \
  aquasec/trivy:0.50.1 image nginx:1.25

# 持久化缓存（加速冷启动）
docker run --rm -v trivy-cache:/root/.cache/trivy \
  -v /var/run/docker.sock:/var/run/docker.sock \
  aquasec/trivy:0.50.1 image --cache-dir /root/.cache/trivy nginx:1.25

3.2.2 基础扫描命令

# 扫描本地镜像
trivy image alpine:3.19

# 扫描远程仓库镜像（无需拉取）
trivy image --server http://registry.example.com myapp:latest

# 扫描镜像并输出 JSON（便于集成）
trivy image --format json --output result.json alpine:3.19

# 仅输出严重和高危漏洞
trivy image --severity CRITICAL,HIGH alpine:3.19

# 更新漏洞数据库
trivy image --download-db-only

3.2.3 关键参数调优

3.3 Clair 安装与基础使用

3.3.1 架构概览

Clair 采用四组件架构：Clair Core（扫描引擎）、Clairctl（CLI 工具）、PostgreSQL（漏洞存储）、Updater（定时更新）。部署复杂度高于 Trivy，但支持持续监控与通知。

# 使用 docker-compose 快速部署
version: '3.8'
services:
  postgres:
    image: postgres:15
    environment:
      POSTGRES_PASSWORD: clair
      POSTGRES_DB: clair
    volumes:
      - pgdata:/var/lib/postgresql/data

  clair:
    image: quay.io/projectclair/clair:latest
    depends_on:
      - postgres
    ports:
      - "6060:6060"
      - "6061:6061"
    environment:
      CLAIR_DATABASE_DSN: "host=postgres port=5432 user=postgres password=clair dbname=clair sslmode=disable"

volumes:
  pgdata:

3.3.2 基础扫描流程

# 1. 推送镜像到 Clair 可访问的仓库
docker tag myapp:latest registry.example.com/myapp:latest
docker push registry.example.com/myapp:latest

# 2. 使用 clairctl 发起扫描
clairctl --config clairctl.yaml analyze --image registry.example.com/myapp:latest

# 3. 查看报告
clairctl --config clairctl.yaml report --image registry.example.com/myapp:latest

3.3.3 性能调优要点

• 数据库连接池：Clair 默认连接池较小，冷启动时建议将 CLAIR_CONNECTION_POOL 提升至 20-50。
• 更新间隔：设置 CLAIR_UPDATER_INTERVAL 为 6h，避免频繁更新导致资源争抢。
• 索引缓存：启用 CLAIR_INDEXER_CACHE_SIZE 为 1024MB，减少重复层解析。

3.4 Anchore Engine 安装与基础使用

3.4.1 企业级部署

Anchore Engine 提供完整的策略引擎 + 漏洞扫描 + 合规审计能力，适合需要自定义安全策略的企业环境。

# 使用 Helm 部署（推荐）
helm repo add anchore https://charts.anchore.io
helm repo update

# 创建命名空间
kubectl create namespace anchore

# 安装 Anchore Engine
helm install anchore anchore/anchore-engine \
  --namespace anchore \
  --set postgresql.persistence.size=20Gi \
  --set engine.resources.requests.cpu=500m \
  --set engine.resources.requests.memory=1Gi

3.4.2 基础使用命令

# 添加镜像到扫描队列
anchore-cli image add docker.io/library/nginx:1.25

# 等待扫描完成
anchore-cli image wait docker.io/library/nginx:1.25

# 查看漏洞列表
anchore-cli image vuln docker.io/library/nginx:1.25 all

# 查看策略评估结果
anchore-cli evaluate check docker.io/library/nginx:1.25

# 列出所有已扫描镜像
anchore-cli image list

3.4.3 冷启动优化策略

3.5 三款工具扫描流程对比

3.6 冷启动场景下的最佳实践

# Helm values.yaml 中 Trivy 冷启动优化配置示例
trivy:
  image:
    repository: aquasec/trivy
    tag: "0.50.1"
  persistence:
    enabled: true
    size: 2Gi
    mountPath: /home/scanner/.cache/trivy
  initContainers:
    - name: download-db
      image: aquasec/trivy:0.50.1
      command: ["trivy", "image", "--download-db-only", "--cache-dir", "/cache"]
      volumeMounts:
        - name: trivy-cache
          mountPath: /cache
  resources:
    requests:
      cpu: 200m
      memory: 512Mi
    limits:
      cpu: 1
      memory: 1Gi
  scanOptions:
    timeout: 10m
    skipDbUpdate: true
    severity: "CRITICAL,HIGH"
    parallel: 10