Usamos el mismo escáner.

Qué es Trivy Operator

El operator de Aqua ejecuta Trivy de forma continua dentro del cluster y escribe lo que encuentra en el propio cluster como custom resources: un VulnerabilityReport por workload, además de auditorías de configuración, evaluaciones de RBAC, búsqueda de secretos expuestos y SBOM. Es gratuito, Apache-2.0 y está muy extendido, y en varios aspectos parece más amplio que nosotros: no auditamos RBAC, no buscamos secretos en los manifiestos y no hacemos benchmarks de sus nodes.

Si su pregunta es «qué está mal en este cluster», es una respuesta excelente, y averiguarlo no cuesta nada.

Un informe no detiene pods

Un VulnerabilityReport es un registro, no una barrera. El operator no registra un admission webhook ni rechaza ningún despliegue, por diseño: la forma documentada de imponer algo es poner delante una segunda herramienta (un motor de policies que lea esos informes o un webhook escrito por usted) y aceptar la condición de carrera que eso conlleva. El informe describe un pod que ya está en ejecución.

Attestkeep empieza por el otro extremo. La admission consulta un veredicto que ya existe para ese digest de image y responde en la misma petición; nunca espera a un escaneo, y un pod cuya image no se ha escaneado nunca es un caso que decide la policy, no un hueco. El escaneo sigue después por detrás: la base de datos de vulnerabilidades se actualiza cada seis horas, cada image se vuelve a escanear a diario, y un hallazgo crítico nuevo en algo ya admitido genera una notificación y puede abrir un ticket en su propio GitHub, GitLab o Jira.

La segunda diferencia es lo que perdura. Los informes existen como recursos del cluster y cambian con él; cuando el pod desaparece, su informe también. Attestkeep escribe los veredictos en un PostgreSQL que usted controla, bajo el hash de la policy con la que se evaluaron, y con ese historial se construye después un informe del periodo.

Dos informes de cumplimiento distintos

Los dos productos tienen algo llamado informe de cumplimiento, y responden a preguntas distintas. El ClusterComplianceReport de Trivy Operator cubre el CIS Kubernetes Benchmark, la guía de bastionado de la NSA y los Pod Security Standards, es decir: ¿está este cluster configurado como dice una guía de bastionado?

El nuestro no trata de configuración. Es un informe sobre un periodo (qué vio la admission, qué admitió, qué rechazó y por qué) vinculado a 13 frameworks con 293 requisitos, cada uno con su cita y marcado como cumplido, parcial, carencia o fuera de alcance. El cuarto estado es lo importante: un operator de containers puede aportar evidencia de quizá un tercio del artículo 21 de NIS2, y un informe que atribuye en silencio los otros dos tercios a su propia lista de funciones es peor que ningún informe. El paquete se firma dentro de su cluster y su auditor puede verificarlo sin nosotros.

Cuál necesita

Solo Trivy Operator basta cuando quiere visibilidad y le parece bien actuar a mano, o cuando el trabajo pendiente es bastionar la configuración del propio cluster. Es gratuito y lo hace bien.

Attestkeep es para cuando un hallazgo tiene que cambiar lo que hace el cluster, y cuando más adelante alguien le pedirá que demuestre que lo hizo. Si las dos cosas importan, no se excluyen: mantenga el operator para RBAC y benchmarks de nodes, y deje que la admission sea la que pone el límite. Community Edition es gratis para siempre, así que la comparación puede hacerse en su cluster y no en esta página.