脆弱性のためのイメージベースの関数のイメージのスキャン

OCI Functionsを使用してコンテナ・レジストリにプッシュされたイメージベース関数のイメージのスキャンを有効および無効にする方法、およびスキャン結果で脆弱性をチェックする方法をご覧ください。

イメージベース・ファンクションの場合、ファンクション定義では、Oracle Cloud Infrastructure RegistryのリポジトリにプッシュおよびプルするDockerイメージを指定します。

Oracle Cloud Infrastructure Registry (コンテナ・レジストリとも呼ばれる)を設定して、イメージベースのファンクションがファンクションのリポジトリにプッシュされたときにイメージをスキャンできます。ファンクション・イメージは、公開されているCommon Vulnerabilities and Exposures (CVE)データベースで公開されているセキュリティの脆弱性をスキャンされます。脆弱性のためのイメージのスキャンを参照してください。

イメージベースのファンクションのイメージをスキャンするために、Container Registryでは、Oracle Cloud Infrastructure脆弱性スキャン・サービスおよび脆弱性スキャンREST APIが使用されます(脆弱性スキャン・サービス・ドキュメントのコンテナ・イメージ・ターゲットを参照)。コンテナ・レジストリからイメージをプルするには、脆弱性スキャン・サービス権限を付与する必要があります(脆弱性のためのファンクション・イメージのスキャンに必要なIAMポリシーを参照)。

イメージ・ベースのファンクションで使用されるイメージのスキャンを有効にするには、ファンクションのリポジトリにイメージ・スキャナを追加します。その後、そのリポジトリにプッシュされたイメージは、イメージ・スキャナによって脆弱性がスキャンされます。リポジトリにすでにイメージが含まれている場合、最近プッシュされた4つのイメージがすぐにスキャンされ、脆弱性が検出されます。イメージ・スキャナを削除することで、特定のリポジトリでのイメージ・スキャンを無効にできます。コンソールを使用したイメージ・スキャンの有効化および無効化を参照してください。

新しい脆弱性がCVEデータベースに追加されると、コンテナ・レジストリは、スキャンが有効になっているリポジトリ内のイメージを自動的に再スキャンします。

コンソールでイメージ・スキャンの結果を表示できます(コンソールを使用したイメージ・スキャンの結果の表示を参照)。スキャンされた関数イメージごとに、次のものを表示できます。

• 過去13か月間のイメージの各スキャンのサマリー。各スキャンで見つかった脆弱性の数、および各スキャンの全体的なリスク・レベルが1つ表示されます。イメージ・スキャン結果は、一定期間スキャン結果を比較できるように13か月間保持されます。
• 各イメージ・スキャンの詳細な結果。各脆弱性の説明とそのリスク・レベル、および(使用可能な場合は)詳細についてはCVEデータベースへのリンクが表示されます。

イメージベースの関数の場合は、常に最新のFDKビルド時ベース・イメージとランタイム・ベース・イメージを使用して、イメージに含まれ、スキャン結果にレポートされる既知の脆弱性の数を減らします。「サポートされている言語の最新のFDKビルドタイムおよびランタイム・ベース・イメージ・バージョンを使用するように既存の関数をアップグレードする方法」を参照してください。