使用 Docker Scout 進行補救

Docker Scout 根據政策評估結果提供建議，協助您補救供應鏈或安全性問題。建議是您可以採取的建議動作，以改進政策合規性，或將中繼資料新增至映像檔，讓 Docker Scout 能夠提供更好的評估結果和建議。

Docker Scout 針對下列政策類型的預設政策提供補救建議

• 最新基本映像檔
• 供應鏈證明

**注意**

自訂政策不支援引導式補救。

對於違反政策的映像檔，建議著重於解決合規性問題和修正違規。對於 Docker Scout 無法判斷合規性狀態的映像檔，建議會顯示如何滿足確保 Docker Scout 能夠成功評估政策的先決條件。

檢視建議

建議會顯示在 Docker Scout 儀表板的政策詳細資料頁面上。要前往此頁面

1. 請前往 Docker Scout 儀表板中的 政策頁面。
2. 在清單中選取一項政策。

政策詳細資料頁面會根據政策狀態將評估結果分組到兩個不同的索引標籤中

• 違規
• 合規性未知

**違規** 索引標籤會列出不符合所選政策的映像檔。**合規性未知** 索引標籤會列出 Docker Scout 無法判斷其合規性狀態的映像檔。當合規性未知時，Docker Scout 需要更多關於映像檔的資訊。

要檢視映像檔的建議動作，請將滑鼠懸停在清單中的其中一個映像檔上，以顯示 **檢視修正** 按鈕。

選取 **檢視修正** 按鈕會開啟包含映像檔建議動作的補救側面板。

如果有多個建議可用，主要建議會顯示為 **建議的修正**。其他建議會列為 **快速修正**。快速修正通常是提供暫時解決方案的動作。

側面板也可能包含一個或多個與可用建議相關的說明章節。

最新基本映像檔補救

**最新基本映像檔** 政策會檢查您使用的基本映像檔是否為最新版本。補救側面板中顯示的建議動作取決於 Docker Scout 擁有多少關於您映像檔的資訊。可用的資訊越多，建議就越好。

下列情境概述了根據映像檔可用資訊的不同建議。

沒有來源證明

為了讓 Docker Scout 能夠評估此政策，您必須將 來源證明 新增至您的映像檔。如果您的映像檔沒有來源證明，則無法判斷合規性。

可用的來源證明

新增來源證明後，Docker Scout 就能夠正確偵測您使用的基本映像檔版本。證明中找到的版本會與相應標籤的目前版本交叉參考，以判斷它是否為最新版本。

如果違反政策，建議的動作會顯示如何將您的基本映像檔版本更新至最新版本，同時將基本映像檔版本固定到特定摘要。如需詳細資訊，請參閱 固定基本映像檔版本。

已啟用 GitHub 整合

如果您將映像檔的原始碼託管在 GitHub 上，則可以啟用 GitHub 整合。此整合讓 Docker Scout 能夠提供更有用的補救建議，並讓您直接從 Docker Scout 儀表板啟動違規補救。

啟用 GitHub 整合後，您可以使用補救側面板在映像檔的 GitHub 儲存庫上提出提取請求。提取請求會自動將 Dockerfile 中的基本映像檔版本更新至最新版本。

此自動化補救會將您的基本映像檔固定到特定摘要，同時協助您在新版本推出時保持最新狀態。將基本映像檔固定到摘要是為了確保可重複性，並有助於避免不必要的變更進入您的供應鏈。

如需基本映像檔固定的詳細資訊，請參閱 固定基本映像檔版本。

供應鏈證明補救

預設的供應鏈證明政策要求映像檔具備完整的來源和 SBOM 證明。如果您的映像檔缺少證明，或者證明未包含足夠的資訊，則會違反此政策。

修復側面板中提供的建議可引導您採取必要的措施來解決問題。例如，如果您的映像檔具有來源證明，但證明未包含足夠的資訊，則建議您使用 mode=max 來源重新建置映像檔。