Docker Scout 发布说明
本页面包含有关Docker Scout版本中的新功能、改进、已知问题和错误修复的信息。这些发布说明涵盖了Docker Scout平台，包括仪表板。有关CLI发布说明，请参阅Docker Scout CLI发布说明。
看看 Docker 公共路线图 了解接下来的内容。
2024年第四季度
2024年第四季度发布的新功能和增强功能。
2024-10-09
策略评估已从早期访问阶段毕业，进入全面可用阶段。
Docker Scout 仪表板用户界面更改：
- 在Docker Scout仪表板上，选择策略卡片现在会打开策略详情页面，而不是策略结果页面。
- 策略结果页面和策略详情侧边栏现在为只读状态。 策略操作（编辑、禁用、删除）现在可以从策略详情页面访问。
2024年第三季度
2024年第三季度发布的新功能和增强功能。
2024-09-30
在此版本中，我们更改了自定义策略的工作方式。以前，自定义策略是通过复制现成的策略创建的。现在，您可以通过编辑来自策略类型的默认策略来自定义策略，该策略类型充当模板。Docker Scout中的默认策略也是基于这些类型实现的。
欲了解更多信息，请参阅 policy types。
2024-09-09
此版本更改了在Docker Scout中如何计算健康分数。健康分数的计算现在会考虑您为组织配置的可选和自定义策略。
这意味着如果您已启用、禁用或自定义了任何默认策略，Docker Scout 现在将在计算您组织镜像的健康评分时考虑这些策略。
如果您尚未为您的组织启用Docker Scout，健康评分计算将基于开箱即用的策略。
2024-08-13
此版本更改了开箱即用的策略，以与用于评估Docker Scout 健康评分的策略配置保持一致。
默认的开箱即用策略现在是：
- 没有高调的漏洞
- 没有可修复的关键或高严重性漏洞
- 已批准的基础镜像
- 默认非root用户
- 供应链认证
- 最新的基础镜像
- 不允许使用AGPL v3许可证
这些策略的配置现在与用于计算健康评分的配置相同。以前，开箱即用的策略与健康评分策略的配置不同。
2024年第二季度
2024年第二季度发布的新功能和增强功能。
2024-06-27
此版本引入了对Docker Scout仪表板中异常的初步支持。异常允许您使用VEX文档来抑制在您的镜像中发现的漏洞（误报）。将VEX文档作为证明附加到镜像上，或将它们嵌入到镜像文件系统中，Docker Scout将自动检测并将VEX声明纳入镜像分析结果中。
新的 例外页面 列出了所有影响您组织中镜像的例外情况。您还可以转到Docker Scout仪表板中的镜像视图，查看适用于给定镜像的所有例外情况。
欲了解更多信息，请参阅 管理漏洞例外。
2024-05-06
新的HTTP端点，允许您从Docker Scout中抓取数据到Prometheus，以便使用Grafana创建自己的漏洞和政策仪表板。有关更多信息，请参阅Docker Scout 指标导出器。
2024年第一季度
2024年第一季度发布的新功能和增强功能。
2024-03-29
无高调漏洞政策现在报告xz后门漏洞
CVE-2024-3094。任何
包含带有后门的xz/liblzma版本的Docker组织中的镜像将不符合无高调漏洞
政策。
2024-03-20
无可修复的关键或高漏洞 策略现在支持一个 仅可修复漏洞 配置选项，该选项允许您决定 是否仅标记具有可用修复版本的漏洞。
2024-03-14
所有关键漏洞策略已被移除。 无可修复的关键或高漏洞策略提供了类似的功能， 并且将在未来更新以允许更广泛的定制， 使得现在被移除的所有关键漏洞策略变得多余。
2024-01-26
Azure 容器注册表 集成已从 早期访问 过渡到 正式发布。
有关更多信息和设置说明，请参阅 集成Azure容器注册表。
2024-01-23
新的已批准的基础镜像策略，允许您限制构建中允许使用的基础镜像。您可以使用模式定义允许的基础镜像。镜像引用与指定模式不匹配的基础镜像将导致策略失败。
2024-01-12
新的默认非root用户策略，该策略会标记默认情况下以root超级用户身份运行并拥有完整系统管理权限的镜像。为您的镜像指定一个非root的默认用户可以帮助增强您的运行时安全性。
2024-01-11
Beta 发布了一款新的 GitHub 应用程序，用于将 Docker Scout 与您的源代码管理集成，并提供了一个修复功能，帮助您提高策略合规性。
修复是Docker Scout的一项新功能，它根据策略评估结果提供上下文建议的操作，以帮助您提高合规性。
GitHub 集成增强了修复功能。启用集成后，Docker Scout 能够将分析结果与源代码连接起来。这些关于镜像构建方式的额外上下文用于生成更好、更精确的建议。
有关Docker Scout可以提供以帮助您提高政策合规性的建议类型的更多信息，请参阅 修复。
有关如何在您的源存储库上授权Docker Scout GitHub应用程序的更多信息，请参阅 将 Docker Scout 与 GitHub 集成。
2023年第四季度
2023年第四季度发布的新功能和增强功能。
2023-12-20
Azure 容器注册表 集成已从 Beta 升级到 早期访问。
有关更多信息和设置说明，请参阅 集成Azure容器注册表。
2023-12-06
新的 SonarQube 集成 和相关政策。SonarQube 是一个用于持续检查代码质量的开源平台。此集成允许您将 SonarQube 的质量门作为 Docker Scout 中的政策评估添加。启用集成，推送您的 镜像，并在新的 SonarQube 质量门通过 政策中查看 SonarQube 质量门条件。
2023-12-01
Beta 版本的新 Azure Container Registry (ACR) 集成，允许 Docker Scout 自动拉取和分析 ACR 仓库中的镜像。
要了解更多关于集成以及如何开始的信息，请参阅 集成Azure容器注册表。
2023-11-21
新的可配置策略功能，使您能够根据您的偏好调整开箱即用的策略，或者如果它们不完全符合您的需求，可以完全禁用它们。一些如何为您的组织调整策略的示例包括：
- 更改与漏洞相关的策略使用的严重性阈值
- 自定义“高关注漏洞”列表
- 添加或移除软件许可证以标记为“copyleft”
欲了解更多信息，请参阅 可配置策略。
2023-11-10
新的供应链证明政策，帮助您跟踪您的镜像是否使用SBOM和来源证明构建。向镜像添加证明是改善供应链行为的第一步，通常是进行更多操作的前提条件。
2023-11-01
新的无高调漏洞政策，确保您的工件不受广泛认为有风险的精选漏洞列表的影响。
2023-10-04
这标志着Docker Scout的正式发布（GA）。
此版本包含以下新功能：
策略评估
策略评估是一项早期访问功能，帮助您确保软件完整性并跟踪您的工件随时间的变化。此版本默认启用了四个开箱即用的策略，适用于所有组织。
- 基础镜像未更新 评估基础镜像是否过时，并需要更新。最新的基础镜像有助于确保您的环境可靠且安全。
- 已修复的关键和高危漏洞 报告您的镜像中是否存在关键或高危严重性的漏洞，以及是否有可升级的修复版本。
- 所有关键漏洞 会查找您镜像中发现的所有关键严重性漏洞。
- 带有AGPLv3、GPLv3许可证的包 帮助您捕获可能在您的镜像中使用的可能不受欢迎的copyleft许可证。
您可以使用Docker Scout仪表板和docker scout policy CLI命令查看和评估镜像的策略状态。有关更多信息，请参阅策略评估文档。
Amazon ECR 集成
新的Amazon Elastic Container Registry (ECR) 集成支持对托管在ECR仓库中的镜像进行镜像分析。
您可以使用预配置的CloudFormation堆栈模板来设置集成，该模板会在您的账户中引导必要的AWS资源。Docker Scout会自动分析您推送到注册表的镜像，仅存储有关镜像内容的元数据，而不存储容器镜像本身。
该集成提供了一个简单的过程，用于添加额外的仓库、为特定仓库激活Docker Scout，并在需要时移除集成。要了解更多信息，请参阅Amazon ECR集成文档。
Sysdig 集成
新的Sysdig集成为您提供Kubernetes运行时环境的实时安全洞察。
启用此集成有助于您解决和优先处理用于运行生产工作负载的镜像的风险。它还通过使用VEX文档自动排除从未加载到内存中的程序中的漏洞，帮助减少监控噪音。
有关更多信息和入门指南，请参阅 Sysdig 集成文档。
JFrog Artifactory 集成
新的JFrog Artifactory集成支持在Artifactory注册表上自动进行镜像分析。
集成涉及部署一个Docker Scout Artifactory代理，该代理轮询新镜像，执行分析，并将结果上传到Docker Scout，同时保持镜像数据的完整性。了解更多信息，请参阅Artifactory集成文档
已知限制
- 图像分析仅适用于Linux镜像
- Docker Scout 无法处理压缩大小超过 12GB 的镜像
- 创建镜像SBOM（镜像分析的一部分）有4分钟的超时限制