#使用 Scan

Scan 是用于运行和管理单个合规扫描的资源，适用于一个 profile。

#何时使用 Scan

在以下情况下使用 Scan：

• 单独运行一个 profile
• 在不创建 batch 资源的情况下快速验证一个目标
• 直接管理单个合规基线的执行
• 运行独立的 OS 扫描，例如 stig-os-example

当你需要将多个 profile 一起管理，或安排重复运行时，请改用 Using ScanSuite。

#基本 Scan 示例

apiVersion: compliance.security.alauda.io/v1alpha1
kind: Scan
metadata:
  name: cis-controlplane-scan
  namespace: compliance-system
spec:
  profile: cis-k8s-controlplane
  scanType: node
  nodeScopeStrategy: auto
  targetNodeRoles:
    - control-plane
  maxHistoricalResults: 3

#OS 扫描示例

apiVersion: compliance.security.alauda.io/v1alpha1
kind: Scan
metadata:
  name: os-scan
  namespace: compliance-system
spec:
  profile: stig-os-example
  scanType: node

注意：stig-os-example 只是一个示例 profile 名称。请使用集群中实际可用的 profile 名称。

#Scan 参数

下表描述了 Scan 资源的顶层参数：

#报告投递参数

如果配置了 spec.reportDelivery，则使用以下字段进行邮件投递：

#节点选择说明

对于 Scan，节点选择和调度字段直接在 spec 下进行配置。

有关 scanType、nodeScopeStrategy、targetNodeRoles 和 nodeSelector 的详细行为，请参阅 Node Selection and Scheduling。

重要说明：

• OS 扫描要求 scanType: node。
• CIS 仅支持 scanType: node；不支持 platform 和 all，因为 kube-bench 不支持规则级节点选择。
• STIG 支持 platform、node 和 all。

#Scan 注解

以下注解可用于控制 Scan 执行：

#监控 Scan 结果

要检查 Scan 的状态和结果：

# Check one Scan
kubectl get scan os-scan -n compliance-system -o wide

# Check all Scans
kubectl get scan -n compliance-system -o wide