튜토리얼: Docker 컨테이너 취약점 스캔

Tier: Free, Premium, Ultimate Offering: GitLab.com, Self-managed, GitLab Dedicated

컨테이너 스캔을 사용하여 컨테이너 레지스트리에 저장된 컨테이너 이미지의 취약점을 확인할 수 있습니다.

컨테이너 스캔 구성은 프로젝트의 파이프라인 구성에 추가됩니다. 이 튜토리얼에서는 다음을 수행합니다.

  1. 새 프로젝트 만들기.
  2. 프로젝트에 Dockerfile 추가. 이 Dockerfile에는 Docker 이미지를 만드는 데 필요한 최소한의 구성이 포함됩니다.
  3. 새 프로젝트에 파이프라인 구성 추가하여 Dockerfile에서 Docker 이미지를 만들고 레지스트리에 푸시한 후 Docker 이미지를 취약점을 스캔합니다.
  4. 보고된 취약점 확인.
  5. Docker 이미지 업데이트하고 업데이트된 이미지를 스캔합니다.

새 프로젝트 만들기

새 프로젝트를 만들려면

  1. 왼쪽 사이드바에서 맨 위에 있는 Create new ()와 New project/repository를 선택합니다.
  2. Create blank project를 선택합니다.
  3. Project name에 튜토리얼 컨테이너 스캔 프로젝트를 입력합니다.
  4. Project URL에서 프로젝트의 네임스페이스를 선택합니다.
  5. Create project를 선택합니다.

새 프로젝트에 Dockerfile 추가

컨테이너 스캔을 수행할 무언가를 제공하려면 매우 간단한 구성의 Dockerfile을 만듭니다.

  1. 튜토리얼 컨테이너 스캔 프로젝트에서 > New file을 선택합니다.

  2. 파일 이름으로 Dockerfile을 입력하고 파일에 대해 다음 콘텐츠를 제공합니다. 

    FROM hello-world:latest

이 Dockerfile로 생성된 Docker 이미지는 hello-world Docker 이미지에 기반합니다.

  1. Commit changes를 선택합니다.

파이프라인 구성 만들기

이제 파이프라인 구성 준비가 되었습니다. 이 파이프라인 구성은:

  1. Dockerfile에서 Docker 이미지를 빌드하고 해당 이미지를 컨테이너 레지스트리에 푸시합니다. build-image 작업은 Docker-in-Docker을 CI/CD 서비스로 사용하여 Docker 이미지를 빌드합니다. 또한 파이프라인에서 Docker 이미지를 빌드하려면 kaniko를 사용할 수도 있습니다.
  2. 컨테이너 레지스트리에 저장된 Docker 이미지를 스캔하기 위해 Container-Scanning.gitlab-ci.yml 템플릿이 포함됩니다.

파이프라인 구성을 만들려면:

  1. 프로젝트의 루트 디렉토리에서 > New file을 선택합니다.

  2. 파일 이름으로 .gitlab-ci.yml을 입력하고 파일에 대해 다음 콘텐츠를 제공합니다. 

    include:
  - template: Jobs/Container-Scanning.gitlab-ci.yml

container_scanning:
  variables:
    CS_IMAGE: $CI_REGISTRY_IMAGE/tutorial-image

build-image:
  image: docker:24.0.2
  stage: build
  services:
    - docker:24.0.2-dind
  script:
    - docker build --tag $CI_REGISTRY_IMAGE/tutorial-image --file Dockerfile .
    - docker login --username gitlab-ci-token --password $CI_JOB_TOKEN $CI_REGISTRY
    - docker push $CI_REGISTRY_IMAGE/tutorial-image
  3. Commit changes를 선택합니다.

거의 다 왔습니다. 파일을 커밋한 후 새로운 파이프라인이 이 구성으로 시작됩니다. 완료되면 스캔 결과를 확인할 수 있습니다.

보고된 취약점 확인

스캔에 대한 취약점은 해당 스캔을 실행한 파이프라인에 있습니다. 보고된 취약점을 확인하려면:

  1. CI/CD > Pipelines를 선택하고 가장 최근의 파이프라인을 선택합니다. 이 파이프라인은 test 단계에서 container_scanning이라는 작업으로 구성되어야 합니다.
  2. container_scanning 작업이 성공했다면 Security 탭을 선택합니다. 발견된 취약점이 있다면 해당 페이지에 나열됩니다.

Docker 이미지 업데이트

hello-world:latest를 기반으로 한 Docker 이미지는 취약점을 보여주기 어렵습니다. 취약점을 보고하는 예제로는 다른 Docker 이미지로 교체해야 합니다.

  1. 프로젝트의 루트 디렉토리에서 기존 Dockerfile 파일을 선택합니다.
  2. Edit를 선택합니다.
  3. FROM hello-world:latest를 다른 Docker 이미지로 교체합니다. 컨테이너 스캔을 보여줄 최고의 Docker 이미지는 다음과 같은 구성을 가지고 있을 것입니다:
    • 운영 체제 패키지, 예를 들어 Debian, Ubuntu, Alpine, 또는 Red Hat 등.
    • 프로그래밍 언어 패키지. 예를 들어 NPM 패키지나 Python 패키지 등.
  4. Commit changes를 선택합니다.

파일을 커밋한 후에는 이 업데이트된 Dockerfile로 새로운 파이프라인이 시작됩니다. 완료되면 새로운 스캔 결과를 확인할 수 있습니다.