GitLab流水线集成BlackDuck镜像扫描配置问题咨询

1. 读取构建任务对应镜像URL的实现方案 #

不要靠查询镜像仓库最新标签拿地址，浮动标签会导致拿到的镜像和目标构建产物不匹配，按场景选下面的方案：

• 同流水线跨任务传值（推荐，零误差）
  在镜像构建任务里，构建完成后立刻把本次构建的完整镜像地址（建议绑定CI_COMMIT_SHORT_SHA或者镜像digest作为唯一标识）写入dotenv报告，通过GitLab原生制品机制把变量传递给后续扫描任务，示例配置片段：

  build_image:
    stage: build
    image: gcr.io/kaniko-project/executor:v1.14.0
    script:
      # 执行镜像构建
      - /kaniko/executor --context $CI_PROJECT_DIR --dockerfile Dockerfile --destination $REGISTRY/$IMAGE_REPO:$CI_COMMIT_SHORT_SHA
      # 把镜像地址写入dotenv文件供下游任务读取
      - echo "SCAN_TARGET_IMAGE=$REGISTRY/$IMAGE_REPO:$CI_COMMIT_SHORT_SHA" >> image_info.env
    artifacts:
      reports:
        dotenv: image_info.env
  

  下游扫描任务可以直接用$SCAN_TARGET_IMAGE变量拿到本次构建的准确镜像地址，不需要额外查询。
• 读取历史构建任务的镜像地址
  如果没法修改原有构建任务的逻辑，要读取历史某次构建的镜像，直接调用GitLab Job API拉取对应任务的运行日志，通过正则匹配提取镜像的唯一digest值拼接URL，示例命令：

  # 替换变量为实际的项目ID、目标构建任务ID、访问令牌
  curl --header "PRIVATE-TOKEN: $GITLAB_TOKEN" "$CI_API_V4_URL/projects/$PROJECT_ID/jobs/$TARGET_BUILD_JOB_ID/trace" | grep -oE "$REGISTRY/$IMAGE_REPO@sha256:[a-f0-9]{64}" | head -n1
  

  用digest定位镜像不会被tag覆盖、篡改，匹配精度100%。

注意：禁止直接拉取镜像仓库latest标签对应的镜像作为扫描目标，该标签为浮动标签，高并发场景下大概率拉取到非目标构建的镜像。

2. BlackDuck镜像扫描+指定位置存储结果的核心配置项 #

不管是用官方Synopsys Detect扫描器还是GitLab内置BlackDuck集成模板，核心配置分三类，所有敏感凭证建议存在GitLab CI/CD掩码变量中，不要硬编码在流水线文件里：

• 基础连接配置（必填）
  • BLACKDUCK_URL：BlackDuck服务端的访问地址
  • BLACKDUCK_API_TOKEN：BlackDuck账号对应的API访问令牌
  • BLACKDUCK_TRUST_CERT：服务端用自签证书时设为true，生产环境建议导入可信证书不开启该配置
  • DETECT_DOCKER_REGISTRY_USERNAME/DETECT_DOCKER_REGISTRY_PASSWORD：私有镜像仓库的登录凭证，供扫描器拉取目标镜像
• 扫描规则配置
  • DETECT_DOCKER_ENABLED=true：显式开启容器镜像扫描模式
  • DETECT_PROJECT_NAME：BlackDuck服务端显示的扫描项目名称，建议和GitLab项目名保持一致
  • DETECT_PROJECT_VERSION_NAME：扫描项目的版本标识，建议绑定代码commit SHA或者版本tag，方便结果溯源
  • DETECT_DOCKER_IMAGE：传入第一部分拿到的目标镜像完整地址
  • BLACKDUCK_PROJECT_GROUP：如果要把扫描结果归集到BlackDuck服务端指定的项目分组下，填入对应分组名称即可
• 结果存储配置
  BlackDuck扫描器默认会把结果上传到服务端，要把报告保存到自定义位置，配置以下参数：
  • DETECT_OUTPUT_PATH：扫描器运行时生成本地报告的目录，把该目录配置为GitLab流水线制品，跑完就可以直接下载原始报告
  • 按需开启报告格式开关：DETECT_REPORT_JSON=true生成JSON格式漏洞报告、DETECT_REPORT_CSV=true生成CSV格式报告、DETECT_CREATE_SBOM=true生成标准SBOM清单
  • 如果要把报告存到专属文件服务器、对象存储等位置，在扫描步骤后加一段简单脚本，把DETECT_OUTPUT_PATH目录下的所有文件上传到目标路径即可，扫描器本身不限制本地报告的后续流转。

内容的提问来源于stack exchange，提问作者Due-Degree-520