Red Hat Hardened Images強化容器映像檔內建SBOM供應鏈透明度
概述
Red Hat 於 5 月 12 日正式發布 Red Hat Hardened Images（前身 Project Hummingbird），提供 45+ 項目、150+ 種變體的強化容器映像檔，內建 SBOM、SLSA Level 3、OpenSCAP 驗證，採 Distroless 架構。
核心特性
| 特性 | 說明 |
|---|---|
| Distroless 架構 | 預設不含 Shell、套件管理工具，縮小攻擊面 |
| 內建 SBOM | 軟體物料清單，支援法遵稽核 |
| SLSA Level 3 | 可驗證的從原始碼到成品信任鏈 |
| OpenSCAP 驗證 | 合規設定可掃描驗證 |
| 多雲可攜性 | 支援公有雲與地端，降低廠商綁定風險 |
| 架構支援 | AMD64 + Arm64 |
支援技術棧
Python、Node.js、Go、Java、.NET、PostgreSQL、Valkey、Nginx、HAProxy
映像檔變體
- 預設版本：兼顧 distroless 與上游映像檔相容性
- Builder 版本：允許安裝套件供客製化
- FIPS 驗證變體：面向受監管環境（美國聯邦標準）
授權
每個映像檔免費使用；LTS 長期支援版預計後續以選購訂閱模式提供
背景動機
目前平均每天約有 160 個 CVE 被公開，單一容器掃描可能列出數百個漏洞，加上 AI 輔助漏洞發掘工具普及，資安團隊負擔大增。
來源文章
相關頁面
- red-hat — 發布方
- 歐盟網路韌性法案CRA施行與SBOM法遵要求2026 — SBOM 法遵背景