docker-scout

Docker Scout — イメージの脆弱性スキャンと SBOM

脆弱性スキャン、SBOM の生成、ポリシーの適用に関するガイダンスです。

使用するタイミング

ユーザーが次の内容に言及した場合は、必ずこのスキルを使用してください：

• "docker scout", "イメージスキャン", "脆弱性スキャン"
• "CVE", "脆弱性", "SBOM"
• "ソフトウェア部品表"
• "イメージのセキュリティ分析", "イメージのセキュリティスキャン"
• "ポリシー評価"

主なコマンド

# Quick vulnerability overview
docker scout quickview myimage:tag

# Detailed CVE report
docker scout cves --format table myimage:tag
docker scout cves --only-fixed myimage:tag   # Show only fixable CVEs
docker scout cves --severity critical,high myimage:tag

# SBOM (Software Bill of Materials)
docker scout sbom myimage:tag                # SPDX format
docker scout sbom --format cyclonedx myimage:tag  # CycloneDX format

# Compare two images
docker scout compare myimage:v1 --to myimage:v2

# Policy evaluation
docker scout policy myimage:tag

CVE の重大度レベル

レベル	対応
Critical	ただちに修正
High	現在のスプリント中に修正
Medium	修正をスケジュール
Low	監視
Unspecified	確認

CI/CD との統合

GitHub Actions

- name: Docker Scout
  uses: docker/scout-action@v1
  with:
    command: cves,compare
    image: ${{ steps.meta.outputs.tags }}
    compare-to: registry/${{ env.IMAGE_NAME }}:latest

修復ワークフロー

1. docker scout cves myimage:tag → Identify CVEs
2. Check if fixable: --only-fixed shows which have patches
3. Update base image: FROM alpine:3.20 (newer version)
4. Update dependencies: npm update / pip install --upgrade / apt upgrade
5. Rebuild: docker build -t myimage:v2 .
6. Verify: docker scout compare myimage:v1 --to myimage:v2

ワークフロー — 推奨スキャン手順

Step 1: クイックスキャン: docker scout quickview <image> で CVE の概要を取得します Step 2: 詳細分析: docker scout cves --only-severity critical,high <image> Step 3: 推奨事項の確認: docker scout recommendations <image> で修正方法を取得します Step 4: 修正して再ビルド: ベースイメージ／依存関係を更新 → docker build → 再スキャンして検証します Step 5: CI との統合: docker/scout-action とポリシーゲートで処理をブロックします

注意点 — よくある問題

• Scout と scan の違い: docker scan（Snyk ベース、非推奨）。→ 対処方法: 常に代わりに docker scout を使用し、古い docker scan プラグインをアンインストールします。
• スキャンだけで修正しない: Scout は CVE を表示しますが、修正は行いません。→ 対処方法: docker scout recommendations <image> で修正案を確認し、ベースイメージを更新するか、新しい依存関係で再ビルドします。
• ベースイメージの CVE: 多くの CVE はベースイメージに起因します。→ 対処方法: docker pull alpine:3.20 でベースイメージを更新し、意図しないダウングレードを避けるためにダイジェストを固定します。docker scout cves alpine:3.20 で監視します。
• マルチステージの見落とし: スキャナーが両方のステージにアクセスできる必要があります。→ 対処方法: すべてのステージ成果物が COPY --from=... で適切にコピーされていることを確認します。必要に応じて中間ステージにタグを付けます。

適用範囲 — 対応できること／できないこと

分類	シナリオ	説明
✅ 対応可能	CVE 脆弱性スキャン	CLI: docker scout cves + quickview
✅ 対応可能	SBOM の生成	docker scout sbom --format spdx
✅ 対応可能	ポリシー評価と CI によるブロック	ポリシー評価 + GitHub Actions
⚠️ 条件付き	プライベートリポジトリのスキャン	Docker Scout のサブスクリプションが必要です
⚠️ 条件付き	組織間の比較	Scout Dashboard（Web UI）が必要です
❌ 対象外	ランタイムセキュリティ	docker-security を使用してください
❌ 対象外	サードパーティ製スキャナー（Trivy/Grype）	各ツールを個別に使用してください
❌ 対象外	脆弱性の修正（依存関係の更新）	開発者が自身で対応します

このスキルを使用しない場合

❌ 使用しないケース	✅ 代わりに使用
ランタイムセキュリティ（seccomp/AppArmor）	docker-security
イメージのビルド	docker-build
CI/CD パイプラインのセットアップ	docker-cicd
レジストリの管理	docker-hub

セキュリティと安定性

• デプロイ前に脆弱性を検出できるよう、CI/CD で Scout を実行してください。
• ゼロデイ通知を受け取るため、Docker のセキュリティアドバイザリーを購読してください。
• 実行可能なスクリプトは含まれていません。ガイダンスのみを提供します。

📚 公式ドキュメント

ドキュメント	URL
Docker Scout の概要	https://docs.docker.com/scout/
Scout クイックスタート	https://docs.docker.com/scout/quickstart/
Scout CLI リファレンス	https://docs.docker.com/reference/cli/docker/scout/
ポリシー評価	https://docs.docker.com/scout/policy/
CI との統合	https://docs.docker.com/scout/integrations/ci/
SBOM 管理	https://docs.docker.com/scout/explore/sbom/

🧭 Docker Skills Journey

📍 現在の位置：docker-scout — イメージのセキュリティスキャン

← 前へ: docker-security — セキュリティの強化 → 次へ: docker-hub — レジストリの管理

FAQ

Q1: このスキルをすぐに使い始めるには？ A: 上記のクイックスタートのセクションを参照し、手順に沿って操作してください。

Q2: バージョンの互換性問題が発生した場合は？ A: 依存関係のバージョンを確認し、lock ファイルで固定してください。よくある問題のセクションも参照してください。

Q3: 本番環境で使用するには？ A: ベストプラクティスのセクションを参照し、設定が正しいことを確認したうえで、監視とログ記録を行ってください。

Q4: パフォーマンスを最適化するには？ A: パフォーマンス最適化に関するドキュメントを参照し、キャッシュやインデックスなどを活用してください。

Q5: 問題の報告やプロジェクトへの貢献をするには？ A: GitHub リポジトリで Issue または Pull Request を提出してください。

Q6: 日本語に対応していますか？ A: 日本語のドキュメントとコメントに対応しています。国内向けの適用に関するセクションを参照してください。