使用策略强制执行 Docker 强化镜像使用

订阅： Docker 强化镜像

自动镜像 Docker 强化镜像 (DHI) 仓库会启用 Docker Scout，让您无需额外设置即可开始为镜像强制执行安全和合规策略。使用 Docker Scout 策略，您可以定义和应用规则，确保只有经过批准且安全的镜像（例如基于 DHI 的镜像）在您的所有环境中得到使用。

通过内置于 Docker Scout 中的策略评估功能，您可以实时监控镜像合规性，将检查集成到您的 CI/CD 工作流程中，并维护镜像安全性和来源的一致标准。

查看现有策略

要查看应用于镜像 DHI 仓库的当前策略

当新镜像被推送时，Docker Scout 会自动评估策略合规性。每个策略都包含合规性结果以及指向受影响镜像和层的链接。

为了确保您使用 Docker 强化镜像构建的镜像保持安全，您可以根据自己的需求为自己的仓库创建 Docker Scout 策略。这些策略有助于执行安全标准，例如防止高危漏洞、要求使用最新基础镜像或验证关键元数据的存在。

策略会在镜像被推送到仓库时进行评估，让您可以跟踪合规性、接收偏差通知，并将策略检查集成到您的 CI/CD 管道中。

此示例演示如何创建一个策略，要求组织中的所有镜像都使用 Docker 强化镜像作为其基础。这可确保您的应用程序构建在安全、最小化且生产就绪的镜像上。

创建一个 Dockerfile，使用 Docker 强化镜像镜像仓库作为基础。例如：

# Dockerfile
FROM ORG_NAME/dhi-python:3.13-alpine3.21

ENTRYPOINT ["python", "-c", "print('Hello from a DHI-based image')"]

打开终端并导航到包含 Dockerfile 的目录。然后，构建并将镜像推送到您的 Docker Hub 仓库。

$ docker build \
  --push \
  -t YOUR_ORG/my-dhi-app:v1 .

要在您的组织和仓库中启用 Docker Scout，请在终端中运行以下命令：

$ docker login
$ docker scout enroll YOUR_ORG
$ docker scout repo enable --org YOUR_ORG YOUR_ORG/my-dhi-app

转到 Docker Scout 控制台。
选择您的组织并导航到策略。
选择添加策略。
选择批准的基础镜像策略的配置。
为策略命名一个符合要求的名称，例如批准的 DHI 基础镜像。
在批准的基础镜像源中，删除默认项。
在批准的基础镜像源中，添加批准的基础镜像源。对于此示例，使用通配符 (*) 允许所有镜像 DHI 仓库，docker.io/ORG_NAME/dhi-*。将 ORG_NAME 替换为您的组织名称。
选择保存策略。

这将显示您的镜像的策略合规性结果，包括它是否符合批准的 DHI 基础镜像策略的要求。