- 综合排序
- 最热优先
- 最新优先
Hadess实战教程系列 - 如何使用推送规则和制品扫描提高制品安全
Hadess 的推送规则与制品扫描，正是为保障企业级项目交付质量与安全而设计。推送规则从源头规范每一次代码提交，而制品扫描则为构建结果提供深度的安全洞察。 阅读本文，您将掌握如何配置这两大关键环节，为您的制品注入坚实的可靠性1、制品推送规则基于角色的制品推送权限控制，通过精确分配推送权限，确保只有授权成员或角色才能向制品库提交内容，从源头保障制品安全与合规 1.2 使用保存后，除选择的角色或成员可推送制品外，其余用户都无法推送制品到该制品库中报错内容会显示104也就是没有权限2、制品扫描制品扫描功能通过自动化检测识别制品中的安全漏洞与合规风险，确保只有安全可靠的制品才能进入生产环境 ，从源头保障软件供应链安全2.1 创建计划1.进入Hadess后，点击左侧制品扫描进入后点击添加计划2.根据内容填写完成后，点击确定即可3.进入你创建的计划，点击右侧添加制品根据真实需求选择要添加的制品 2.2 执行扫描1.添加完成后，点击右上角扫描按钮进行制品扫描等待扫描完成即可2.扫描完成后可点击扫描报告进行查看，也可以点击扫描报告右侧日志按钮进行日志查看
25265编辑于 2025-11-28企业级制品管理：腾讯云 CNB 制品库的权限控制与安全扫描
摘要： 腾讯云 CNB 制品库支持 Docker、Helm、Maven、npm 等 11 种制品格式，提供版本追溯、漏洞扫描和细粒度的访问控制，帮助团队实现制品全生命周期的安全管控。 四、漏洞扫描与安全检测能力 制品安全是软件供应链安全的重要组成部分。CNB 制品库集成安全扫描能力，对制品进行自动化安全检测，帮助团队在部署前发现潜在的安全风险。 自动化安全检测：制品库支持在制品推送或构建完成后自动触发安全扫描。扫描范围包括制品中引用的开源组件及其已知漏洞信息，帮助团队及时识别存在安全风险的依赖版本。 与流水线联动：安全扫描可以与流水线结合，在制品构建阶段即介入检测，把安全检查前置到研发早期，降低后期修复安全问题的成本。 六、总结 腾讯云 CNB 制品库通过多类型支持、分类归属管理、版本追溯、漏洞扫描和细粒度访问控制等能力，为企业级制品管理提供了完整的解决方案。
5610编辑于 2026-08-24Hadess实战教程系列 - 使用制品扫描消除安全漏洞
在严谨的软件交付流程中，制品的质量与安全不应是“可选项”，而必须是通往生产环境的“强制关卡”。Hadess制品扫描正是这样一道核心防线。 阅读本文，确保每一个交付物都安全、可信1、制品扫描使用指南制品扫描通过自动化检测，精准拦截含漏洞的制品，确保环境安全无忧1.1 添加扫描计划1.登入Hadess后点击左侧制品扫描进入该页面2.进入页面后 点击添加计划跳出创建页面3.我们根据真实的需要来取对应的名称即可，制品库选中你需要扫描的仓库，扫描方案选择Maven扫描方案1.2 添加制品1.创建完成后进入你刚刚创建的扫描计划中，进入后点击右侧的添加制品 2.选中你需要扫描的制品，点击确定即可1.3 执行扫描1.制品添加完成后，点击右上角扫描按钮等待扫描完成即可2.扫描完成后，会提示扫描成功可以直接在日志中进行详细查看扫描内容3.也可以点击扫描报告查看详细扫描问题分类等
26265编辑于 2025-11-28- 来自专栏运维专栏
kubernetes 基于jenkins spinnaker的cicd实践一增加制品镜像扫描
当然了第一步我觉得还是少了镜像的扫描的步骤，先搞一波镜像的扫描！ 流水线集成了harbor中自动扫描，扫描完成了继续来harbor中登陆确认镜像有没有漏洞吧？ -n anchore-engine [f26d5f2a9b1301277b915e6b5fc055c.png] 发现一个坑爹的.......为什么kubernetes的domain 都默认设置的cluster.local 高危漏洞检测未能通过FAIL,哈哈哈哈 但是流水线总算是跑通了： [image.png] [image.png] 比较一下Trivy与anchore-engine 拿spinnaker-nginx-demo 107制品镜像来对比 ,制品标签为harbor.xxxx.com/spinnaker/spinnaker-nginx-demo:202111201116： anchore-engine报告： [1637378433641-144a7c88
1.5K81发布于 2021-11-20 - 来自专栏云原生应用工坊
DevSecOps 中的制品安全：为什么漏洞扫描必须前置到 CI
这正是为什么，制品安全必须前置到 CI 阶段，而不是事后补救。为什么漏洞扫描不能放到部署之后？从工程视角看，把漏洞扫描放到 CI 之后、甚至上线之后，至少会带来三类问题：第一，修复成本急剧上升。 第三，也是最致命的一点：你已经允许一个不可信的制品进入了系统边界之内。安全体系一旦在这里妥协，后续所有防护都只能是止损，而不是防御。CI 阶段漏洞扫描解决的是什么问题？ 以 Trivy 这类工具为代表的漏洞扫描，并不是为了“消灭所有漏洞”，而是为了解决一个更基础的问题：这个制品当前的风险状态是什么？ 在 CI 中引入自动化漏洞扫描，可以明确做到三件事：把已知高危漏洞显式暴露出来用机器可执行的规则阻断高风险制品让“是否允许发布”成为一个可审计的决策，而不是经验判断例如，在构建完成后直接对镜像进行扫描， 在这种攻击路径下，漏洞扫描并不能保证你绝对安全，但它至少可以确保一件事：你不是在“完全无感知”的情况下，把一个高风险制品推向生产环境。安全的第一步，不是防御未知攻击，而是不要忽视已知风险。
30010编辑于 2025-12-23 - 来自专栏亨利笔记
云原生制品那些事(3)：OCI 制品Artifact
第一篇：容器镜像的结构 第二篇：OCI 镜像规范 第三篇：OCI 制品 第四篇：Registry 的作用原理 《Harbor权威指南》目前当当网优惠中，点击下图直接购买。 ），简称 Artifact（制品）。 开发者如果希望自定义一种新的Artifact类型，就可以按照 OCI 的制品作者指导文档（ArtifactAuthor Guidance）来定义配置、清单、索引等结构，可分4个步骤来完成。 version 格式的版本 fileFormat 文件格式 optional-compressionFormat 可选的压缩格式说明（gzip、zstd等） 一些常见的 OCI Artifact 层文件类型如表5所示 表5 层 文 件 类型名称 简单的文本 application/text 非压缩的OCI镜像层 application/vnd.oci.image.layer.v1.tar 以gzip压缩的OCI镜像层
1.5K30编辑于 2023-04-18 CNB 制品扫描帮你把关
腾讯云 CNB 制品库在存储 Docker、Helm、Maven、npm、PyPI 等多种制品的同时，集成安全扫描能力，对制品中的开源组件与已知漏洞进行自动化检测，并与流水线联动，帮助团队在制品流转过程中持续把关 把安全检测设置在制品环节，让制品库在存储和分发过程中自动为第三方库把关，是补上这道缺口的有效方式。腾讯云 CNB 的制品库正是把安全扫描能力集成其中，让制品在入库和流转时就能完成自动化安全检测。 在存储和管理这些制品的基础上，制品库集成了安全扫描能力。这一能力对制品进行自动化安全检测，检测内容聚焦两个方面：开源组件识别和已知漏洞比对。 也就是说，扫描器会分析制品中包含的开源组件及其版本，并与已知漏洞信息进行比对，发现命中的风险项。 这意味着制品库不再只是被动的存储仓库，而是具备了主动检测能力的安全关卡。 过去每类制品可能要借助不同的工具做安全检测，管理成本高、标准也不统一。 CNB 制品库把多种制品类型集中在同一平台中管理，安全扫描能力覆盖这些制品格式。
5210编辑于 2026-08-24- 来自专栏电子电路开发学习
强大的JTAG边界扫描5-FPGA边界扫描应用
上一篇文章，介绍了基于STM32F103的JTAG边界扫描应用，演示了TopJTAG Probe软件的应用，以及边界扫描的基本功能。 本文介绍基于Xilinx FPGA的边界扫描应用，两者几乎是一样。 1. 获取芯片的BSDL文件 FPGA的BSDL文件获取方式，可以参考之前的文章：BSDL文件获取。 边界扫描测试 打开TopJTAG新建工程，选择JTAG设备为JLink 如果连接正常，会显示当前连接芯片的IDCODE 指定BSDL文件路径，并进行IDCODE校验。 总结 和单片机不同，大多数FPGA芯片都是BGA封装的，管脚个数从200至1000不等，这也就意味着需要多层PCB来进行硬件设计，密集的引脚和PCB的内层走线，会导致故障的排查越来越困难，通过边界扫描， 更多精选 强大的JTAG边界扫描4-STM32边界扫描应用 强大的JTAG边界扫描3-常用边界扫描测试软件 强大的JTAG边界扫描2-BSDL文件 强大的JTAG边界扫描1-基本原理 中国移动万耦天工开发板试用评测
1.7K40编辑于 2023-09-18 - 来自专栏DevOps实践之路
聊聊DevOps制品管理-不止是存储制品这么简单
别人给你一个包，你怎么知道包里包含了哪些需求缺陷变更，包含了哪些代码提交，还有包的md5,hash等信息。 制品管理工具 如上所述，由于制品管理的重要性，所以衍生出来对应的制品解决方案用来统一管理不同格式的软件制品。 除了基本的存储功能，还提供了版本控制、访问控制、安全扫描、依赖分析等重要功能，最终建立“单一可信源”，是一种企业处理软件开发过程中产生的所有包类型的标准化方式。 也许也是看到单独的制品管理工具，比大而全的DevOps平台更好的切入用户场景吧。 如何管理制品？ 为了统一管理不同语言格式的包，以上制品管理工具几乎都按照如下方式管理组织制品。 如果所示，组织需要引入组件审核制度，杜绝开发人员随意的拉取互联网的开源制品，并且建立实时的漏洞扫描机制，形成组织级的白名单仓库。
2.3K30编辑于 2023-05-16 - 来自专栏DevOps
【DevOps系列】升级你的制品：探讨制品晋级的战略
我们知道，在DevOps模式下或CI/CD流水线中，制品管理起着承上启下的关键作用，它对这些制品进行统一的管理。所以说，制品对持续集成而言是终点，同时也会是持续发布或者持续运营的起点。 对可部署的制品，运维团队可以基于制品包发起部署操作，并拉取相应环境下的服务；对于需要进入市场的发布包，运营团队可以基于制品包，分发至不同的市场渠道。 02制品晋级治理的方案经过上文的阐述，我们认识到仅凭简单的制品版本号信息，难以准确判断制品是否已达到可交付的标准。在此背景下，一个科学合理的制品晋级治理方案显得尤为重要。 图 3 中展示了制品晋级整体方案的核心要点。在制品等级划分方面，我们可以根据具体业务需求，灵活选择最适合的方式。同时，制品晋级规则在某种程度上，也反馈出了团队实施制品晋级治理时面临的业务实际约束诉求。 随后，在制品库内执行预设的晋级规则，为同一制品在其生命周期的不同阶段赋予相应的“晋级”标识（即打上不同的等级标签）。紧接着，部署工具会从制品库中提取所需制品，并对接相应的环境进行部署操作。
88310编辑于 2024-12-12 - 来自专栏DevOps时代的专栏
制品属性应用实践：制品与测试报告双向追溯
本文主要介绍如何实现制品与自动化测试报告的双向追溯。 何谓制品与测试报告双向追溯 软件制品是软件企业持续交付的目标产物，其质量是制品交付的重要属性。 图1 制品生命周期过程 制品与测试报告双向追溯，一方面，可以通过制品查看对应的测试报告；反之，根据测试报告也可以追溯所测制品的信息。 如何实现制品与测试报告双向追溯 1、实现制品追溯测试报告 通过为制品定义测试报告相关属性，我行实现了通过制品追溯对应的测试报告。 在制品库中，可在制品属性页查看测试报告链接地址，点击可跳转至自动化测试平台相关页面。 2、实现测试报告追溯制品 项目管理平台测试准出流程生成手工测试报告（功能、性能、安全）过程中，调用制品库接口实现测试制品以及自动化测试报告链接的关联选择。
63510编辑于 2023-12-06 - 来自专栏DevOps
保护你的制品：制品的安全策略与实践
01漏洞扫描的秘密漏洞扫描是对软件交付制品包进行深入分析，以发现并识别其中可能存在的安全漏洞的重要环节。 比如漏洞库里面已知某个包的特定几个版本有漏洞，并且制品中包含这个文件信息，扫描工具这时候会提示制品也包含了这个漏洞。02漏洞库扫描工具的局限 然而，此类工具也有它的局限性。 03如何有效利用漏洞扫描工具 所以，我们在使用漏洞扫描工具的同时，也需要采取一些额外的步骤来最大化寻找制品包中潜在漏洞的机会。 换句话说，就是我们希望在制品里塞进尽可能多的功能，但又希望让漏洞扫描工具能轻松地检查每一个角落。 其次，早期扫描可以阻止有问题的制品上传到制品库中，或者对外开放下载。这样，在开发过程中可以确保引用的都是安全的依赖，将不安全的应用投入生产环境的风险降至最低。
39110编辑于 2024-12-12 - 来自专栏ops技术分享
Jenkins远程发布制品
一.简介 WEB服务很少会与Jenkins服务器在同一台机器，所以需要将构建好的制品包，发放到远程服务器进行部署。
80730发布于 2021-06-04 - 来自专栏程序那些事
Spring5参考指南:组件扫描
组件扫描 上一篇文章我们讲到了annotation-config配置，它主要用于bean内部的属性注入。而bean本身则需要通过配置的方式来定义。 SessionScopedUserService implements UserService { // ... } @ComponentScan和filters 上面我们讲到，要是要使用组件扫描 然后，在配置扫描器时提供完全限定的类名，如下面的示例注解和bean定义所示： public class MyNameGenerator implements BeanNameGenerator { 为此，组件扫描元素上可以有一个scoped-proxy 属性。三个可能的值是：no、interfaces和targetClass。 要生成索引，需要每个模块添加一个附加依赖项，该模块包含作为组件扫描指令目标的组件。
92120发布于 2020-07-07 - 来自专栏CODING DevOps
八月更新 | CI 构建计划触发机制升级、制品扫描 SBOM 分析功能上线！
03 制品扫描提供软件成分分析 (SBOM) 软件研发过程中往往会使用大量开源组件，开源组件代码的比例高达 90% 左右。这在加速软件研发的同时也带来了潜在的安全风险。 为了帮助企业解决软件成分不透明、软件供应链风险追溯和治理效率低等问题，CODING 制品扫描推出软件成分分析（SBOM）重磅能力。 通过 SBOM，系统会分析制品的依赖组件，并提供各组件的版本、漏洞、license 统计等信息。 与此同时，系统还会分析制品与依赖的关联关系，包括组件依赖的组件及组件所关联的制品，为软件供应链风险追溯和安全治理提供有效依据。 代码扫描：问题列表支持筛选出无需修复或误报的问题，快速定位有效问题。 测试管理：测试用例支持按照序号排序；用例导入时标签上限提升至 300。
66120编辑于 2023-08-24 - 来自专栏用户3246163的专栏
解构TOGAF-5-制品，交付物和架构块都是什么鬼？
1 制品是企业架构开发时的原子工作产品 制品 Artifact：在遵循 ADM 进行架构开发时，TOGAF 定义的一套原子工作产品。 1.2 矩阵示例 在架构愿景阶段有一个制品是Stakeholder 映射矩阵，主要通过表格方式描述每一类 Stakeholder的关键关注点，他们的态度类型，以及他们关注的制品有哪些： 从Stakeholder 还是用预备阶段的架构原则来举例子，在预备阶段有一个制品是架构原则目录，如果这些原则只是制品，那就还不具备约束效力。 交付物和制品架构工作中的标准化工作产出，交付物比制品更正式一些，但是两者都是架构工作的结果。TOGAF 对于制品和交付物都有明确的标准要求，但并没有规定什么才是构建块。 用一个具体的例子来解释一下，在业务架构阶段，有一个制品是业务服务目录，这里面的业务服务就是构建块了，这个构建块也会被用在制品业务服务信息图中。
2.6K21发布于 2021-12-01 - 来自专栏CODING DevOps
八月更新 | CI 构建计划触发机制升级、制品扫描 SBOM 分析功能上线！
03 制品扫描提供软件成分分析 (SBOM) 软件研发过程中往往会使用大量开源组件，开源组件代码的比例高达 90% 左右。这在加速软件研发的同时也带来了潜在的安全风险。 为了帮助企业解决软件成分不透明、软件供应链风险追溯和治理效率低等问题，CODING 制品扫描推出软件成分分析（SBOM）重磅能力。 通过 SBOM，系统会分析制品的依赖组件，并提供各组件的版本、漏洞、license 统计等信息。 与此同时，系统还会分析制品与依赖的关联关系，包括组件依赖的组件及组件所关联的制品，为软件供应链风险追溯和安全治理提供有效依据。 代码扫描：问题列表支持筛选出无需修复或误报的问题，快速定位有效问题。 测试管理：测试用例支持按照序号排序；用例导入时标签上限提升至 300。
44620编辑于 2023-08-25 - 来自专栏JAVA乐园
发布制品到私服 Nexus
INFO] ------------------------------------------------------------------------ 在 Nexus 服务也看到发布的 jar 包 5.
72120编辑于 2022-04-15 - 来自专栏ops技术分享
Jenkins制品管理（上）
一.简介 制品是软件开发过程中产生的多种有形副产品之一。广义的制品还包括用例、UML图、设计文档等。而狭义的制品就可以简单地理解为二进制包。 本章讨论的是狭义的制品。行业内有时也将制品称为产出物或工件。 最简单的制品管理仓库就是将制品统—放在一个系统目录结构下。但是很少有人这样做，更多的做法是使用现成的制品库。 制品管理涉及两件事情:一是如何将制品放到制品库中;二是如何从制品库中取出制品。由于每种制品的使用方式不一样，因此下面我们分别进行介绍。 二.Jenkins管理制品 从手工打包到自动化打包，再将打好的包放到制品库中。这看似简单，但是要在团队中从无到有地落地其实是一个很漫长的过程，特别是对于存在很多遗留项目的团队。 它能对制品进行归档，然后你就可以从Jenkins页面上下载制品了。
1.9K20发布于 2021-06-02 - 来自专栏ops技术分享
Jenkins制品管理（下）
四.拷贝制品 在某些场景下，我们需要从另一个pipeline中拷贝制品，Copy Artifact插件 可以帮助我们实现 steps { copyArtifacts( projectName fingerprintArtifacts:布尔类型，是否对制品进行签名，默认值为true resultVariableSuffix :上例中，无法得知我们到底拿的是core项目的哪次构建的制品。 stable为true表示只取构建成功的制品，为false表示只要构建结果比UNSTABLE好就行。 specific:指定某一次构建的制品。 buildNum ber表示指定取第n次构建的制品 lastCompleted:最后一次完成构建的制品，不论构建的最终状态如何。 2.方便找出制品与源码的关系。
1.6K20发布于 2021-06-02
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号