Wir nutzen denselben Scanner.

Was Trivy Operator ist

Der Operator von Aqua führt Trivy laufend im Cluster aus und schreibt seine Ergebnisse als Custom Resources zurück in den Cluster: einen VulnerabilityReport pro Workload, dazu Konfigurationsaudits, RBAC-Bewertungen, Prüfungen auf offengelegte Secrets und SBOMs. Er ist kostenlos, steht unter Apache-2.0, ist weit verbreitet und wirkt in mancher Hinsicht breiter aufgestellt als wir: Wir prüfen kein RBAC, suchen keine Secrets in Manifesten und führen keine Benchmarks für Ihre Nodes durch.

Lautet Ihre Frage „Was ist in diesem Cluster falsch?“, ist er eine ausgezeichnete Antwort, und das herauszufinden kostet nichts.

Berichte stoppen keine Pods

Ein VulnerabilityReport ist eine Aufzeichnung, keine Schranke. Der Operator registriert bewusst keinen Admission-Webhook und lehnt kein Deployment ab: Der dokumentierte Weg, etwas durchzusetzen, ist ein zweites Werkzeug davor – eine Policy-Engine, die diese Berichte liest, oder ein selbst geschriebener Webhook – samt der Race Condition, die damit einhergeht. Der Bericht beschreibt einen Pod, der bereits läuft.

Attestkeep setzt am anderen Ende an. Die Admission schlägt ein Urteil nach, das für diesen Image-Digest bereits vorliegt, und antwortet in derselben Anfrage; sie wartet nie auf einen Scan, und ein Pod, dessen Image noch nie gescannt wurde, ist ein Fall, den die Policy entscheidet, keine Lücke. Der Scan läuft im Hintergrund weiter: Die Schwachstellendatenbank wird alle sechs Stunden aktualisiert, jedes Image täglich neu gescannt, und ein neuer kritischer Befund bei etwas bereits Zugelassenem löst eine Benachrichtigung aus und kann ein Ticket in Ihrem eigenen GitHub, GitLab oder Jira öffnen.

Der zweite Unterschied ist, was bestehen bleibt. Berichte existieren als Cluster-Ressourcen und ändern sich mit dem Cluster; verschwindet der Pod, verschwindet auch sein Bericht. Attestkeep schreibt Urteile in ein PostgreSQL unter Ihrer Kontrolle, zusammen mit dem Hash der Policy, gegen die sie bewertet wurden, und aus dieser Historie entsteht später ein Zeitraumbericht.

Zwei verschiedene Compliance-Berichte

Beide Produkte haben etwas, das Compliance-Bericht heißt, doch sie beantworten verschiedene Fragen. Der ClusterComplianceReport von Trivy Operator deckt den CIS Kubernetes Benchmark, die Härtungsempfehlungen der NSA und die Pod Security Standards ab: Ist dieser Cluster so konfiguriert, wie es ein Härtungsleitfaden verlangt?

Unserer betrifft nicht die Konfiguration. Er ist ein Bericht über einen Zeitraum – was die Admission gesehen, zugelassen und abgelehnt hat und warum –, zugeordnet zu 13 Regelwerken und Kontrollkatalogen mit 293 Anforderungen, jede mit Fundstelle zitiert und als erfüllt, teilweise, Lücke oder außerhalb des Umfangs markiert. Auf den vierten Status kommt es an: Ein Container-Operator kann vielleicht ein Drittel von NIS2 Artikel 21 belegen, und ein Bericht, der die übrigen zwei Drittel stillschweigend der eigenen Funktionsliste zuschlägt, ist schlechter als gar keiner. Das Paket wird in Ihrem Cluster signiert, und Ihr Auditor kann es ohne uns prüfen.

Was Sie brauchen

Trivy Operator allein genügt, wenn Sie Transparenz wollen und bereit sind, von Hand darauf zu reagieren, oder wenn die Härtung der Cluster-Konfiguration die anstehende Aufgabe ist. Er ist kostenlos und darin gut.

Attestkeep ist für den Fall gedacht, dass ein Befund ändern muss, was der Cluster tut – und dass jemand später einen Nachweis dafür verlangt. Ist beides wichtig, schließen sich die zwei nicht aus: Behalten Sie den Operator für RBAC und Node-Benchmarks, und lassen Sie die Admission die Grenze halten. Die Community Edition ist dauerhaft kostenlos, der Vergleich kann also in Ihrem Cluster stattfinden statt auf dieser Seite.