コンテナイメージ
これは、コンテナイメージの表示と管理に関するガイドです。
- ワークロード保護機能の概念概要については、「 ワークロード保護を参照してください。
- コンテナレジストリの設定を構成するには、「 Container Registry Settings」を参照してください。
- よくある質問については、「 FAQ: ワークロード保護」を参照してください。
すべてのコンテナイメージを表示する
必要なライセンス: この機能は、CSPM、Standard、Enterprise ライセンスのいずれかで利用できます。
Tenable One Cloud Exposure環境内のすべてのコンテナイメージを表示します。
コンテナイメージを表示する方法
- クラウドサイバーエクスポージャーコンソールで、[Explore > Compute > Container Images] に移動します。
- テーブルをフィルタリングして、表示するデータの範囲を絞り込みます。詳細については、「 コンテナイメージの列データ を参照してください。
- イメージの名前をクリックすると、 リソースの詳細の表示。
-
リソースページで、[ワークロード] をクリックします。
注意: Tenable ベースのスキャンは、 コンテナイメージに対して追加のコンテキストを提供します。これは、クラウドプロバイダーによって実行されるスキャンでは利用できません。Tenable によってスキャンされたコンテナイメージでは、リソースビューに追加のWorkload タブがあり、関連する修正とともに、1) イメージにインストールされたソフトウェアパッケージと 2) イメージ上で検出された脆弱性に関する情報を提供します。 -
次のいずれかのタブをクリックします。
- ソフトウェア。マシンにインストールされているソフトウェアパッケージを表示します。
- 脆弱性。マシンにインストールされているパッケージに関連する脆弱性を表示します。
オンデマンドスキャンの実行
クラウドサイバーエクスポージャー は、すべてのコンテナイメージとコンテナリポジトリを少なくとも 24 時間に 1 回、自動的にスキャンします。特定のワークロードをそれよりも早くスキャンしたい場合は、オンデマンドスキャンをリクエストできます。スキャンを開始すると、そのスキャンはキューの先頭にプッシュされます。スキャン結果は、Tenable によって次回定期的にデータの同期と更新の頻度が実行された後に クラウドサイバーエクスポージャー コンソールに表示されます。
- コンテナイメージ。イメージをスキャンすると、その特定のイメージ、親リポジトリ内の最新の 10 個のイメージ、現在使用中のすべてのイメージのスキャンがトリガーされます。
- コンテナリポジトリ。リポジトリのスキャンには、最新の 10 個のイメージと、そのリポジトリ内で現在使用されているすべてのイメージが含まれます。
注意:
- 関連する 仮想マシンのデータディスクスキャンを有効にする をスキャンから除外した場合、オンデマンドスキャンは利用できません。
- アクセス許可が付与されていない外部リポジトリでは、オンデマンドスキャンはサポートされていません。
オンデマンドスキャンを実行する方法
- 関連する仮想マシンに移動し、クリックします。仮想マシンは、[Explore > Compute] > [Virtual Machines]、または関連するクラウドプロバイダーのインベントリビューにあります (例: [Explore > Inventory] > [Compute > Azure Virtual Machines])。
-
三点リーダーアイコンをクリックし、[今すぐスキャン] をクリックします。
スキャンが正常にリクエストされたことを示すダイアログが表示されます。
- [OK] をクリックします。
スキャンがすでにリクエストされている場合、ボタンは無効になり、[スキャンをリクエスト済み] と表示されます。
コンテナイメージの列データ
次の列は [Container Images] (コンテナイメージ) ページのテーブルに表示されます。そのほとんどが、テーブルのデータのフィルターにも使用できます。
| 縦棒 | 説明 |
|---|---|
| 名前 | イメージの名前。 |
| アカウント | イメージに関連付けられているクラウドアカウント。イメージは、それを実行するすべてのアカウントの下に表示されます。クラウドサイバーエクスポージャー に同期していないレジストリ (docker.io や quay.io など) からプルされたイメージは、コンテナレジストリという名前の 1 つのアカウントの下に表示されます。 |
| リポジトリ | イメージが保存されているリポジトリのリスト。 |
| イメージタグ | イメージに割り当てられたタグ。 |
| ダイジェスト | コンテナイメージ識別子 (SHA256)。 |
| イメージラベル | イメージの Docker コンテナラベルのリスト ( key:value別に一覧表示)。キーまたは値のサイズが 5KB を超えるラベルはリストされません。 |
| 作成時間 | イメージが作成されたタイムスタンプ。 |
| クラスタ | コンテナイメージを使用するクラスタ |
| 仮想マシン | コンテナイメージを使用する仮想マシン。 |
| ワークロード | イメージがデプロイされるワークロード。たとえば、仮想マシン、Kubernetes ワークロード、コンテナサービスソリューションなどです。 |
| オペレーティングシステム | イメージで実行されているオペレーティングシステムとバージョン。 |
| オペレーティングシステムタイプ | イメージの特定のオペレーティングシステムのディストリビューション。 |
| ソフトウェア | ワークロードにインストールされているすべてのソフトウェアパッケージのリスト。必要に応じて、パッケージのファイルパスも表示されます。この情報は、パッケージの入手元と、潜在的な問題を修正する方法を特定する際に役立ちます。たとえば、パッケージがベースイメージの一部としてインストールされているかどうか、またはパッケージがベースイメージに追加されているかどうかを識別できます。 |
| 脆弱性 | ワークロードで見つかった脆弱性の内訳 ( リスク深刻度の色分け)。数字をクリックすると、特定の深刻度レベルの脆弱性リストが表示されます。 |
| 検出結果 | アイデンティティに関連付けられた検出結果の数。数字をクリックすると、検出結果について検索可能なリストが表示されます。 |
| プラグイン | イメージで検出された脆弱性に関連するプラグイン。プラグインのリンクをクリックして、プラグインの詳細を表示します。 |
| スキャン時間 | クラウドサイバーエクスポージャーが前回マシンをスキャンした時刻を示すタイムスタンプ。マシンがまだスキャンされていない場合、値はダッシュ (-) になります。 |
| ラベル |
手動による適用、タグに基づく自動適用、システムによる適用のいずれかにかかわらず、イメージに適用された ラベルのリソースへの適用 が表示されます。ラベルのタグにカーソルを合わせると、詳細を確認できます。イメージに複数のラベルがある場合、アイコンをクリックするとその他のラベルが表示されます。以下のラベルはワークロード保護に固有のものであり、以下の状況で表示されます。
|
| コンテナイメージの使用 (フィルターのみ) | スキャンされたコンテナイメージがワークロードによって使用されているかどうかを示します。 可能な値: Unused、Used。 詳細については、 FAQ をご覧ください。 |