全部产品
Search
文档中心

容器镜像服务 ACR:使用OCI v1.1.0规范管理和关联容器镜像及其衍生制品

更新时间:Sep 04, 2024

从2024年04月起,新创建的ACR企业版实例将支持OCI的Image和Distribution规范v1.1.0,包括对Reference Types的支持。这意味着您除了可以存储和分发容器镜像外,还能管理和分发非容器镜像内容的OCI制品,如镜像签名和软件物料清单(SBOM)。这使您能够像管理容器镜像一样,管理和分发这些OCI制品。本文将介绍如何在容器镜像服务ACR中应用OCI v1.1.0新版本规范的相关功能。

前提条件

  • 已在本地安装ORAS客户端。具体操作,请参见安装ORAS

  • 已在本地安装Docker。具体操作,请参见安装Docker并使用(Linux)

  • 已配置专有网络或公网的访问控制,用于连接到企业版实例,本文以配置公网访问控制为例。具体操作,请参见配置公网的访问控制

  • 已获取登录企业版实例的密码。若您忘记或遗失密码,您可以通过配置访问凭证的方式重置密码。具体操作,请参见配置访问凭证

步骤一:使用Referrers API关联镜像的衍生制品

Referrers API是OCI v1.1.0新版本规范提出的能力,旨在将容器镜像与其衍生制品,例如物料清单(SBOM)、签名和漏洞扫描结果紧密关联。它能够帮助您有效追踪特定软件制品的来源,从而提升镜像的安全性与合规性管理和审查的效率。下面以容器镜像的物料清单(SBOM)生成与关联为例,展示 Referrers API的相关作用。

如果您在环境中无法执行docker sbom命令,需要先安装并配置sbom-cli-plugin组件。

安装配置sbom-cli-plugin组件

如果您在环境中无法执行docker sbom命令时,可以按照如下方式安装和配置sbom-cli-plugin组件

  1. 安装sbom-cli-plugin组件。

    wget "https://github.com/docker/sbom-cli-plugin/releases/download/v0.6.1/sbom-cli-plugin_0.6.1_linux_amd64.tar.gz"
  2. 创建组件目录。

    mkdir -p /root/.docker/cli-plugins
  3. 解压tar包到指定目录中。

    tar -zxvf sbom-cli-plugin_0.6.1_linux_amd64.tar.gz -C  /root/.docker/cli-plugins

以下示例将展示如何使用Referrers API来关联镜像<企业版实例名称>-registry.cn-hangzhou.cr.aliyuncs.com/library/golang:1.20的物料清单(SBOM)。

  1. 指明企业版实例域名,并输入您的用户名和登录密码。

    登录成功之后会显示Login Succeeded

    docker login <企业版实例名称>-registry.cn-hangzhou.cr.aliyuncs.com
    Username: ****@test.com
    Password:
    Login Succeeded
  2. 执行以下命令,生成目标镜像的物料清单(SBOM)数据。

    docker sbom <企业版实例名称>-registry.cn-hangzhou.cr.aliyuncs.com/library/golang:1.20 --format spdx-json -o sbom.jsom

    预期输出。

    13

  3. 执行以下命令,关联目标镜像物料清单(SBOM)数据。

     oras attach  --distribution-spec v1.1-referrers-api <企业版实例名称>-registry.cn-hangzhou.cr.aliyuncs.com/library/golang:1.20 sbom.jsom --artifact-type example/sbom

    预期输出。

    14

  4. 执行以下命令,查看目标镜像与物料清单(SBOM)关联关系。

    oras discover  --distribution-spec v1.1-referrers-api <企业版实例名称>-registry.cn-hangzhou.cr.aliyuncs.com/library/golang:1.20

    预期输出。

    15

步骤二:跨实例分发镜像及其关联的衍生制品

ACR企业版实例支持通过ORAS等工具跨实例分发镜像及其关联的衍生制品。我们以拷贝容器镜像及其软件物料(SBOM)为例来展示这一功能。

将已关联的物料清单(SBOM)中的 <企业版实例名称>-registry.cn-hangzhou.cr.aliyuncs.com/library/golang:1.20镜像分发到<企业版实例名称>-registry.cn-beijing.cr.aliyuncs.com仓库。您需要先登录目标实例镜像仓库。

  1. 指明企业版实例域名,并输入您的用户名和登录密码。

    登录成功之后会显示Login Succeeded

    docker login <企业版实例名称>-registry.cn-beijing.cr.aliyuncs.com
    Username: ****@test.com
    Password:
    Login Succeeded
  2. 执行以下命令,分发镜像及其关联的物料清单(SBOM)至目标实例镜像仓库。

    $ oras cp -r --from-distribution-spec v1.1-referrers-api --to-distribution-spec v1.1-referrers-api <企业版实例名称>-registry.cn-hangzhou.cr.aliyuncs.com/library/golang:1.20 <企业版实例名称>-registry.cn-beijing.cr.aliyuncs.com/library/golang:1.20

    预期输出。

    16

  3. 执行以下命令,目标镜像也有同样的物料清单(SBOM)。

    oras discover  --distribution-spec v1.1-referrers-api <企业版实例名称>-registry.cn-beijing.cr.aliyuncs.com/library/golang:1.20

    预期输出。

    17