在运行 Azure 资源图查询以进行映像漏洞评估时获取 docker 映像标签

Question

我们正在使用 azure 资源图查询生成 docker 漏洞评估报告，在编写 kusto 查询生成具有漏洞的 dockerimage 列表的报告后，我们将获取有关 docker 存储库及其相应 sha/digest 值的详细信息以及所需的其他详细信息，但是我们还需要 docker 标签来获取我们无法在 azure 资源查询中获取的特定存储库/digets 值，我们还需要在报告中包含 docker 镜像标签数据 以下是我的 kql 查询：

securityresources
| where type == "microsoft.security/assessments/subassessments"
| where id has "Assesment key" and isnotnull (properties.id)
| mv-expand properties.additionalData.cve
| mv-expand properties.additionalData.data
| mv-expand properties.additionalData.vendorReferences
| project Image=properties.additionalData.repositoryName, Digest=properties.additionalData.imageDigest, Dockertag=properties.additionalData.data.***, CVE=properties_additionalData_cve

任何人都可以告诉我们可以在 *** 部分中进行哪些修改或以其他方式获取该数据（图像标签）？

Answer 1

据我所知，漏洞扫描结果来自 MS 用于图像的 Qualys 扫描仪，不涉及图像标签。他们通过指示存储库和图像摘要来引用图像清单。 由于资源图似乎没有将 ACR 图像甚至图像存储库建模为资源或子资源，因此似乎无法使用资源图查询来获取此信息。此外，您可能拥有目前根本没有任何标签的图像，并且这些图像仍然可能具有可用的漏洞扫描。

MS 也在开发他们自己的解决方案，目前该解决方案似乎处于 ACR 预览版。这似乎对于子评估有稍微不同的结构，并且它似乎确实包含对

properties.additionalData.artifactDetails.tags

中的图像标签的引用。