見出し画像

Trivyでコンテナイメージをスキャン！SPDX JSON形式で結果を出力してみよう

toshi

コンテナ技術を活用する環境では、セキュリティ対策がとても重要ですよね。ですが、どこに潜んでいるかわからない脆弱性やライセンスの問題を手作業で探すのは大変です。そんなときに頼れるツールが「Trivy」です。ここでは、Trivyのコマンドの中でも特に便利な trivy image --format spdx-json について見ていきましょう。

まずはTrivyってどんなツール？

Trivyは、コンテナイメージやファイルシステム、さらにはソースコードの脆弱性をスキャンできるオープンソースツールです。これを使えば、セキュリティ上の問題を簡単に見つけることができます。

例えば、コンテナイメージを引っ張り出してきて「この中に危ないものはないか？」とチェックしてくれるのがTrivy。セキュリティの専門家じゃなくても直感的に使えるのがうれしいポイントです。

このコマンド、何ができるの？

trivy image --format spdx-json は、コンテナイメージをスキャンして、その結果を SPDX JSON形式 で出力するコマンドです。
SPDXってなんだか難しそうに聞こえるかもしれませんが、実はこんな役割を果たします。

  • SPDXとは？
    ソフトウェアのライセンス情報や依存関係を標準化した形式です。セキュリティやコンプライアンスが求められる現場で大活躍します。

  • JSON形式の便利さ
    データが構造化されているので、ツールで自動的に解析したり、他のシステムと連携させたりするのが簡単になります。

実際に使ってみる

使い方はとても簡単！以下のコマンドを実行するだけです。

trivy image --format spdx-json <image_name>

例えば、公式のnginxイメージをスキャンしたい場合はこうします：

trivy image --format spdx-json nginx:latest

このコマンドを実行すると、コンテナイメージ内の脆弱性情報やパッケージ情報がSPDX形式で出力されます。

出力結果のイメージ

スキャン結果のJSONデータは、こんな感じで出力されます：

{
  "SPDXID": "SPDXRef-DOCUMENT",
  "name": "nginx:latest",
  "packages": [
    {
      "SPDXID": "SPDXRef-Package-libc6",
      "name": "libc6",
      "version": "2.31-13+deb11u6",
      "licenseConcluded": "GPL-2.0",
      "licenseDeclared": "GPL-2.0"
    },
    ...
  ]
}

この中には、以下のような情報が含まれています：

  • パッケージ名（例: libc6）

  • バージョン（例: 2.31-13+deb11u6）

  • ライセンス情報（例: GPL-2.0）

特にライセンス情報は、コンプライアンスを考える上で重要ですね。

どんなシーンで役立つ？

このコマンドの便利さは、以下のようなシーンで発揮されます：

  1. 脆弱性の可視化
    コンテナにどんな脆弱性が潜んでいるかを確認できるので、リリース前に対策を講じることができます。

  2. ライセンス管理
    SPDX形式を使うと、使用しているソフトウェアのライセンスが適切かどうかをチェックしやすくなります。

  3. CI/CDパイプラインでの自動化
    JSON形式でデータを取得できるので、CI/CDツールと連携して、スキャン結果を簡単に取り込むことが可能です。

おわりに

trivy image --format spdx-json は、コンテナイメージのセキュリティとライセンスを一目で把握できる、とても便利なコマンドです。
特に、複数のツールやチーム間でデータを共有する必要がある環境では、このSPDX JSON形式が大いに役立つでしょう。

気になった方はぜひ、手元で trivy を試してみてください。きっと、「もっと早く知りたかった！」と思うはずです！

いいなと思ったら応援しよう！