- 综合排序
- 最热优先
- 最新优先
Hadess实战教程系列 - 如何使用推送规则和制品扫描提高制品安全
Hadess 的推送规则与制品扫描，正是为保障企业级项目交付质量与安全而设计。推送规则从源头规范每一次代码提交，而制品扫描则为构建结果提供深度的安全洞察。 1.1 配置1.进入Hadess后，点击你所创建的制品库2.进入制品库后，点击左侧设置按钮进入设置页面3.进入设置页面后，点击推送设置进入该页面4.来到推送设置页面后，打开推送规则可根据角色或者成员来选择谁可以往该制品库进行推送制品 1.2 使用保存后，除选择的角色或成员可推送制品外，其余用户都无法推送制品到该制品库中报错内容会显示104也就是没有权限2、制品扫描制品扫描功能通过自动化检测识别制品中的安全漏洞与合规风险，确保只有安全可靠的制品才能进入生产环境 ，从源头保障软件供应链安全2.1 创建计划1.进入Hadess后，点击左侧制品扫描进入后点击添加计划2.根据内容填写完成后，点击确定即可3.进入你创建的计划，点击右侧添加制品根据真实需求选择要添加的制品 2.2 执行扫描1.添加完成后，点击右上角扫描按钮进行制品扫描等待扫描完成即可2.扫描完成后可点击扫描报告进行查看，也可以点击扫描报告右侧日志按钮进行日志查看
25265编辑于 2025-11-28企业级制品管理：腾讯云 CNB 制品库的权限控制与安全扫描
摘要： 腾讯云 CNB 制品库支持 Docker、Helm、Maven、npm 等 11 种制品格式，提供版本追溯、漏洞扫描和细粒度的访问控制，帮助团队实现制品全生命周期的安全管控。 四、漏洞扫描与安全检测能力 制品安全是软件供应链安全的重要组成部分。CNB 制品库集成安全扫描能力，对制品进行自动化安全检测，帮助团队在部署前发现潜在的安全风险。 自动化安全检测：制品库支持在制品推送或构建完成后自动触发安全扫描。扫描范围包括制品中引用的开源组件及其已知漏洞信息，帮助团队及时识别存在安全风险的依赖版本。 与流水线联动：安全扫描可以与流水线结合，在制品构建阶段即介入检测，把安全检查前置到研发早期，降低后期修复安全问题的成本。 六、总结 腾讯云 CNB 制品库通过多类型支持、分类归属管理、版本追溯、漏洞扫描和细粒度访问控制等能力，为企业级制品管理提供了完整的解决方案。
5610编辑于 2026-08-24Hadess实战教程系列 - 使用制品扫描消除安全漏洞
在严谨的软件交付流程中，制品的质量与安全不应是“可选项”，而必须是通往生产环境的“强制关卡”。Hadess制品扫描正是这样一道核心防线。 阅读本文，确保每一个交付物都安全、可信1、制品扫描使用指南制品扫描通过自动化检测，精准拦截含漏洞的制品，确保环境安全无忧1.1 添加扫描计划1.登入Hadess后点击左侧制品扫描进入该页面2.进入页面后 点击添加计划跳出创建页面3.我们根据真实的需要来取对应的名称即可，制品库选中你需要扫描的仓库，扫描方案选择Maven扫描方案1.2 添加制品1.创建完成后进入你刚刚创建的扫描计划中，进入后点击右侧的添加制品 2.选中你需要扫描的制品，点击确定即可1.3 执行扫描1.制品添加完成后，点击右上角扫描按钮等待扫描完成即可2.扫描完成后，会提示扫描成功可以直接在日志中进行详细查看扫描内容3.也可以点击扫描报告查看详细扫描问题分类等
26265编辑于 2025-11-28- 来自专栏亨利笔记
Harbor制品仓库的访问控制（2）
HelmChart ✔ ✔ ✔ 删除 Helm Chart ✔ ✔ 查看项目成员 ✔ ✔ ✔ ✔ 创建、编辑、删除项目成员 ✔ 创建、编辑、删除、查看项目标签 ✔ ✔ 查看扫描器 ✔ ✔ ✔ ✔ ✔ 修改扫描器 ✔ 查看策略 ✔ ✔ 添加、删除、修改策略 ✔ ✔ 查看机器人账户 ✔ ✔ ✔ ✔ 创建、编辑、删除机器人账户 ✔ 查看 Webhook 在漏洞扫描器扫描 Artifact 时，Harbor 会创建一个拥有 scanner-pull 权限的临时机器人账户，并发送该机器人账户信息给漏洞扫描器，使其能拉取并扫描 Artifact。 在扫描结束后，该账号立即被删除。 5. 2．已经将用户从 LDAP 管理员组中删除了，为什么该用户登录 Harbor 时依然是系统管理员？
6.4K10发布于 2021-03-30 - 来自专栏运维专栏
kubernetes 基于jenkins spinnaker的cicd实践一增加制品镜像扫描
当然了第一步我觉得还是少了镜像的扫描的步骤，先搞一波镜像的扫描！ 流水线集成了harbor中自动扫描，扫描完成了继续来harbor中登陆确认镜像有没有漏洞吧？ 高危漏洞检测未能通过FAIL,哈哈哈哈 但是流水线总算是跑通了： [image.png] [image.png] 比较一下Trivy与anchore-engine 拿spinnaker-nginx-demo 107制品镜像来对比 ,制品标签为harbor.xxxx.com/spinnaker/spinnaker-nginx-demo:202111201116： anchore-engine报告： [1637378433641-144a7c88 x-oss-process=image%2Fresize%2Cw_750%2Climit_0#crop=0&crop=0&crop=1&crop=1&from=url&id=Jjabi&margin=%
1.5K81发布于 2021-11-20 - 来自专栏云原生应用工坊
DevSecOps 中的制品安全：为什么漏洞扫描必须前置到 CI
这正是为什么，制品安全必须前置到 CI 阶段，而不是事后补救。为什么漏洞扫描不能放到部署之后？从工程视角看，把漏洞扫描放到 CI 之后、甚至上线之后，至少会带来三类问题：第一，修复成本急剧上升。 第三，也是最致命的一点：你已经允许一个不可信的制品进入了系统边界之内。安全体系一旦在这里妥协，后续所有防护都只能是止损，而不是防御。CI 阶段漏洞扫描解决的是什么问题？ 以 Trivy 这类工具为代表的漏洞扫描，并不是为了“消灭所有漏洞”，而是为了解决一个更基础的问题：这个制品当前的风险状态是什么？ 在 CI 中引入自动化漏洞扫描，可以明确做到三件事：把已知高危漏洞显式暴露出来用机器可执行的规则阻断高风险制品让“是否允许发布”成为一个可审计的决策，而不是经验判断例如，在构建完成后直接对镜像进行扫描， 往期回顾告别 AccessKey：EC2 / K3S 使用 kube2iam 构建无密钥运行时权限告别 AccessKey：GitHub Actions OIDC 构建无密钥 CI/CDCloudNeutral
30010编辑于 2025-12-23 - 来自专栏亨利笔记
云原生制品那些事(2)：OCI 镜像规范
第一篇：容器镜像的结构 第二篇：OCI 镜像规范 第三篇：OCI 制品 第四篇：Registry 的作用原理 《Harbor权威指南》目前当当网优惠中，点击下图直接购买。 2）．镜像清单 镜像清单（简称清单）是说明镜像包含的配置和内容的文件，分析镜像一般从镜像清单开始。 /vnd.oci.image.config.v1+json", "size": 6883, "digest": "sha256:b5b2b2c507a0944348e0303114d8d93aaaa081732b86451d9bce1f432a537bc7 : "value2" } } 其中主要属性的意义如下。 ◎ schemaVersion：必须是2，主要用于兼容旧版本的Docker。 ◎ config：镜像配置文件的信息。
2.1K10编辑于 2023-04-18 - 来自专栏finleyMa
Jenkins2 学习系列16 -- 制品管理
制品是软件开发过程中产生的多种有形副产品之一，个人理解，比如前端build后产生的dist静态资源文件，安卓打包生成的apk文件，这些产物都可以认为是制品。 制品的使用可以非常简单。 第二步把文件存为制品。 #! image.png 制品管理软件 制品多了话需要管理，单靠Jenkins有点力不从心了，需要专门的制品管理软件，目前流行的有 Nexus Repository OSS 和 Artifactory 以Nexus为例，制品软件系统到底有啥用呢，通过官方文档，通过Nexus制品管理软件。 缺点: 自己搭建和维护，需要一定服务器运行成本 制品管理软件详细的使用本文不再展开，大家参照文档即可，大致流程是: 搭建制品仓库系统，Jenkins安装对应的插件，修改pipeline通过插件提供的指令上传制品到制品仓库
1.7K10发布于 2019-08-05 - 来自专栏亨利笔记
云原生制品那些事(3)：OCI 制品Artifact
OCI 分发规范是基于 Docker Registry HTTP API V2 的标准化容器镜像分发过程制定的。 OCI 分发规范定义了仓库服务和仓库客户端交互的协议，主要包括：面向命名空间（Namespace）的URI格式、能够拉取和推送 v2 格式清单的仓库服务、支持可续传的推送过程及 v2 客户端的要求等。 （本文为公众号：亨利笔记 原创文章） OCI Artifact (OCI制品) 从第2篇文章 OCI 镜像规范的图1可以看到，OCI 镜像规范的结构特点是由一个（可选的）镜像索引来指向多个清单，每个清单都指向一个配置和若干个层文件 ），简称 Artifact（制品）。 [version]+[optional-configFormat] 格式中各个字段的含义如表2所示。
1.5K30编辑于 2023-04-18 CNB 制品扫描帮你把关
腾讯云 CNB 制品库在存储 Docker、Helm、Maven、npm、PyPI 等多种制品的同时，集成安全扫描能力，对制品中的开源组件与已知漏洞进行自动化检测，并与流水线联动，帮助团队在制品流转过程中持续把关 把安全检测设置在制品环节，让制品库在存储和分发过程中自动为第三方库把关，是补上这道缺口的有效方式。腾讯云 CNB 的制品库正是把安全扫描能力集成其中，让制品在入库和流转时就能完成自动化安全检测。 在存储和管理这些制品的基础上，制品库集成了安全扫描能力。这一能力对制品进行自动化安全检测，检测内容聚焦两个方面：开源组件识别和已知漏洞比对。 也就是说，扫描器会分析制品中包含的开源组件及其版本，并与已知漏洞信息进行比对，发现命中的风险项。 这意味着制品库不再只是被动的存储仓库，而是具备了主动检测能力的安全关卡。 过去每类制品可能要借助不同的工具做安全检测，管理成本高、标准也不统一。 CNB 制品库把多种制品类型集中在同一平台中管理，安全扫描能力覆盖这些制品格式。
4710编辑于 2026-08-24- 来自专栏DevOps实践之路
聊聊DevOps制品管理-不止是存储制品这么简单
除了基本的存储功能，还提供了版本控制、访问控制、安全扫描、依赖分析等重要功能，最终建立“单一可信源”，是一种企业处理软件开发过程中产生的所有包类型的标准化方式。 Nexus 使用ExtJS来开发界面，利用Restlet来提供完整的REST APIs，通过m2eclipse与Eclipse集成使用。 2021年末的Log4j2的安全事件，引起了整个IT圈的轩然大波，这个开源组件几乎涉及所有的java应用，每个公司不得不紧急排查自己产品是否引入该风险。 如果所示，组织需要引入组件审核制度，杜绝开发人员随意的拉取互联网的开源制品，并且建立实时的漏洞扫描机制，形成组织级的白名单仓库。 总结 制品管理是DevOps实践过程中的重要环节，起着承上启下，收集过程信息的重要角色； 于此同时，制品的引入使用会存在安全风险，组织需要关注这一点，避免类似Log4j2安全事件带来的一系列风险； 作为实践者
2.3K30编辑于 2023-05-16 - 来自专栏DevOps
【DevOps系列】升级你的制品：探讨制品晋级的战略
我们知道，在DevOps模式下或CI/CD流水线中，制品管理起着承上启下的关键作用，它对这些制品进行统一的管理。所以说，制品对持续集成而言是终点，同时也会是持续发布或者持续运营的起点。 对可部署的制品，运维团队可以基于制品包发起部署操作，并拉取相应环境下的服务；对于需要进入市场的发布包，运营团队可以基于制品包，分发至不同的市场渠道。 如下图2 所示，在开发实践过程中，企业通常会设立开发（DEV）、测试（TEST）、预发布（UAT）、生产（RELEASE）等不同的环境。 02制品晋级治理的方案经过上文的阐述，我们认识到仅凭简单的制品版本号信息，难以准确判断制品是否已达到可交付的标准。在此背景下，一个科学合理的制品晋级治理方案显得尤为重要。 随后，在制品库内执行预设的晋级规则，为同一制品在其生命周期的不同阶段赋予相应的“晋级”标识（即打上不同的等级标签）。紧接着，部署工具会从制品库中提取所需制品，并对接相应的环境进行部署操作。
88310编辑于 2024-12-12 - 来自专栏DevOps时代的专栏
制品属性应用实践：制品与测试报告双向追溯
本文主要介绍如何实现制品与自动化测试报告的双向追溯。 何谓制品与测试报告双向追溯 软件制品是软件企业持续交付的目标产物，其质量是制品交付的重要属性。 图1 制品生命周期过程 制品与测试报告双向追溯，一方面，可以通过制品查看对应的测试报告；反之，根据测试报告也可以追溯所测制品的信息。 如何实现制品与测试报告双向追溯 1、实现制品追溯测试报告 通过为制品定义测试报告相关属性，我行实现了通过制品追溯对应的测试报告。 图2 流水线中测试结果的展示 图3 测试平台中测试案例信息页面 (2)将测试报告链接地址写入制品属性 流水线工具通过调用制品库接口，将测试报告链接写入制品属性。 2、实现测试报告追溯制品 项目管理平台测试准出流程生成手工测试报告（功能、性能、安全）过程中，调用制品库接口实现测试制品以及自动化测试报告链接的关联选择。
63510编辑于 2023-12-06 - 来自专栏DevOps
保护你的制品：制品的安全策略与实践
01漏洞扫描的秘密漏洞扫描是对软件交付制品包进行深入分析，以发现并识别其中可能存在的安全漏洞的重要环节。 比如漏洞库里面已知某个包的特定几个版本有漏洞，并且制品中包含这个文件信息，扫描工具这时候会提示制品也包含了这个漏洞。02漏洞库扫描工具的局限 然而，此类工具也有它的局限性。 03如何有效利用漏洞扫描工具 所以，我们在使用漏洞扫描工具的同时，也需要采取一些额外的步骤来最大化寻找制品包中潜在漏洞的机会。 换句话说，就是我们希望在制品里塞进尽可能多的功能，但又希望让漏洞扫描工具能轻松地检查每一个角落。 其次，早期扫描可以阻止有问题的制品上传到制品库中，或者对外开放下载。这样，在开发过程中可以确保引用的都是安全的依赖，将不安全的应用投入生产环境的风险降至最低。
39110编辑于 2024-12-12 - 来自专栏ops技术分享
Jenkins远程发布制品
一.简介 WEB服务很少会与Jenkins服务器在同一台机器，所以需要将构建好的制品包，发放到远程服务器进行部署。 ssh发布到远程服务器插件 在系统设置中体现 在最后面出现如下， Passphrase一项输出密码，下面的机器都使用如下密码 点击增加按钮，安装如图填写 名字，ip，登陆账号，登陆后出现在哪个目录，若有2台机器密码不同点击高级来添加
80730发布于 2021-06-04 - 来自专栏CODING DevOps
八月更新 | CI 构建计划触发机制升级、制品扫描 SBOM 分析功能上线！
03 制品扫描提供软件成分分析 (SBOM) 软件研发过程中往往会使用大量开源组件，开源组件代码的比例高达 90% 左右。这在加速软件研发的同时也带来了潜在的安全风险。 为了帮助企业解决软件成分不透明、软件供应链风险追溯和治理效率低等问题，CODING 制品扫描推出软件成分分析（SBOM）重磅能力。 通过 SBOM，系统会分析制品的依赖组件，并提供各组件的版本、漏洞、license 统计等信息。 与此同时，系统还会分析制品与依赖的关联关系，包括组件依赖的组件及组件所关联的制品，为软件供应链风险追溯和安全治理提供有效依据。 代码扫描：问题列表支持筛选出无需修复或误报的问题，快速定位有效问题。 测试管理：测试用例支持按照序号排序；用例导入时标签上限提升至 300。
66120编辑于 2023-08-24 - 来自专栏CODING DevOps
八月更新 | CI 构建计划触发机制升级、制品扫描 SBOM 分析功能上线！
03 制品扫描提供软件成分分析 (SBOM) 软件研发过程中往往会使用大量开源组件，开源组件代码的比例高达 90% 左右。这在加速软件研发的同时也带来了潜在的安全风险。 为了帮助企业解决软件成分不透明、软件供应链风险追溯和治理效率低等问题，CODING 制品扫描推出软件成分分析（SBOM）重磅能力。 通过 SBOM，系统会分析制品的依赖组件，并提供各组件的版本、漏洞、license 统计等信息。 与此同时，系统还会分析制品与依赖的关联关系，包括组件依赖的组件及组件所关联的制品，为软件供应链风险追溯和安全治理提供有效依据。 代码扫描：问题列表支持筛选出无需修复或误报的问题，快速定位有效问题。 测试管理：测试用例支持按照序号排序；用例导入时标签上限提升至 300。
44620编辑于 2023-08-25 - 来自专栏JAVA乐园
发布制品到私服 Nexus
2.
72120编辑于 2022-04-15 - 来自专栏ops技术分享
Jenkins制品管理（上）
一.简介 制品是软件开发过程中产生的多种有形副产品之一。广义的制品还包括用例、UML图、设计文档等。而狭义的制品就可以简单地理解为二进制包。 本章讨论的是狭义的制品。行业内有时也将制品称为产出物或工件。 最简单的制品管理仓库就是将制品统—放在一个系统目录结构下。但是很少有人这样做，更多的做法是使用现成的制品库。 制品管理涉及两件事情:一是如何将制品放到制品库中;二是如何从制品库中取出制品。由于每种制品的使用方式不一样，因此下面我们分别进行介绍。 二.Jenkins管理制品 从手工打包到自动化打包，再将打好的包放到制品库中。这看似简单，但是要在团队中从无到有地落地其实是一个很漫长的过程，特别是对于存在很多遗留项目的团队。 它能对制品进行归档，然后你就可以从Jenkins页面上下载制品了。
1.9K20发布于 2021-06-02 - 来自专栏全栈程序员必看
struts2综合漏洞扫描工具
python扫描工具更新2022-4-16 1.添加了S2-062漏洞利用 其实是对S2-061漏洞的绕过 支持命令执行，Linux反弹shell，windows反弹shell。 java工具 优点 1.扫描比较稳定 2.误报情况少， 3.可视化，方便操作 缺点 1.无法指定payload进行利用 2.无法反弹shell 3.无S2-061 payload 用法 直接一键扫描就行了 漏洞利用扫描工具，基于互联网上已经公开的Structs2高危漏洞exp的扫描利用工具，目前支持的漏洞如下: S2-001, S2-003, S2-005, S2-007, S2-008, S2-009, 批量扫描利用工具 Options: -i, --info 漏洞信息介绍 -v, --version 显示工具版本 -u, --url TEXT URL 地址 -n, --name TEXT 指定漏洞名称, 漏洞名称详见info -f, --file TEXT 批量扫描URL文件, 一行一个URL -d, --data TEXT
2.7K20编辑于 2022-09-09
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号