Migration des images Docker des Analyzers et Responders Cortex vers GHCR : ce que cela signifie pour vous

À compter du 1er avril 2025, DockerHub appliquera des limites de téléchargement plus strictes pour les images Docker, impactant les utilisateurs non authentifiés et les comptes gratuits. Ces changements peuvent avoir un impact sur les clients qui utilisent les Analyzers et Responders Cortex, car Cortex ne prend actuellement pas en charge l’authentification avec les registres Docker. Pour atténuer ce problème et garantir un accès ininterrompu à nos images Docker, nous migrons l’hébergement des images des Analyzers et Responders Cortex vers le registre de conteneurs GitHub (GHCR). Nous vous expliquons ici les raisons de cette décision, les impacts éventuels sur vos applications et les étapes à suivre pour assurer une transition en douceur.

Les nouvelles limites de téléchargement de DockerHub, détaillées ici, sont les suivantes :

• Utilisateurs non authentifiés : 10 téléchargements par heure
• Utilisateurs authentifiés avec un compte gratuit : 100 téléchargements par heure
• Utilisateurs authentifiés avec un compte payant : nombre illimité de téléchargements sous réserve d’une utilisation équitable

Étant donné que Cortex ne prend actuellement pas en charge l’authentification avec les registres Docker, tous les téléchargements d’images sont considérés comme non authentifiés, ce qui peut entraîner des erreurs liées aux limites de débit. Bien que de nombreux utilisateurs ne rencontrent pas de problèmes grâce au mécanisme de mise en cache des images de Docker – où les images sont téléchargées une fois puis réutilisées – certains scénarios peuvent tout de même être problématiques. Par exemple, si vous avez des paramètres de cache DockerHub restreints ou plusieurs instances partageant la même adresse IP source, vous risquez de dépasser les limites de téléchargement non authentifié. En migrant vers GHCR, nous garantissons que nos images Docker restent accessibles sans authentification ni restrictions de téléchargement, offrant ainsi une expérience plus fiable à tous les utilisateurs.

Pour comprendre l’impact et les actions nécessaires, il est important de savoir comment Cortex gère les images des Analyzers et des Responders. Cortex s’appuie sur des catalogues officiels hébergés en ligne. Ces catalogues sont essentiellement des listes d’Analyzers et de Responders disponibles, et surtout, ils contiennent les URL spécifiques indiquant à Cortex où récupérer l’image Docker correspondante. Avec la migration des images vers le registre de conteneurs GitHub (GHCR), nous mettons simultanément à jour ces catalogues officiels. Les URL indiquées pour nos Analyzers et Responders dans ces catalogues seront modifiées pour pointer vers leurs nouveaux emplacements sur GHCR au lieu de DockerHub. Pour que ce changement soit effectif en pratique, il faut que ce qui suit se produise sur votre instance Cortex :

Votre instance Cortex doit télécharger ces catalogues mis à jour pour connaître les nouveaux emplacements des images GHCR. Cela se produit automatiquement au redémarrage de l’application Cortex ou lorsque vous appuyez sur le bouton « rafraîchir » dans l’onglet de gestion des Analyzers ou des Responders de l’interface utilisateur de Cortex.

Même après avoir téléchargé les nouveaux catalogues, Cortex peut continuer à utiliser des images mises en cache localement et extraites précédemment de DockerHub. Les étapes spécifiques de désactivation/réactivation décrites ci-dessous sont requises pour mettre à jour la configuration de chaque Analyzer/Responder afin que Cortex utilise activement les nouvelles URL GHCR spécifiées dans les catalogues mis à jour (nécessaires pour les futures mises à jour ou en incidents de nouveau téléchargement d’images) et afin d’éviter toute tentative de récupération depuis DockerHub via des références obsolètes (ce qui pourrait déclencher des limites de débit).

Bien que la mise en cache des images de Docker puisse permettre aux images déjà téléchargées de fonctionner pendant un certain temps sans action immédiate, il ne s’agit pas d’un état fiable à long terme. S’appuyer sur les images mises en cache signifie que votre instance ne recevra pas de nouvelles versions ou de mises à jour de sécurité pour les Analyzers et les Responders, car elles seront uniquement publiées sur GHCR et référencées dans les catalogues mis à jour. En outre, tout événement déclenchant une nouvelle extraction (p. ex. vidage du cache, erreurs spécifiques) pourrait encore entraîner des échecs si Cortex tente d’utiliser les anciennes URL de DockerHub et se heurte à des limites de débit. Par conséquent, pour garantir un fonctionnement ininterrompu, l’accès aux dernières mises à jour et éviter les perturbations potentielles liées aux limites de débit de DockerHub, nous recommandons vivement à tous les utilisateurs on-premises de suivre les étapes de migration détaillées dans la section suivante rapidement après le 1er avril 2025.

Aucune action n’est requise de votre part. Nous prendrons en charge la migration et veillerons à ce que vos Analyzers et Responders Cortex continuent de fonctionner sans interruption.

Pour vous adapter à ce changement, veuillez suivre les étapes suivantes dès que possible, à partir du 1er avril 2025 :

1. Redémarrer l’application Cortex : cette opération est nécessaire pour télécharger les catalogues mis à jour qui font référence aux nouveaux emplacements des images sur GHCR.
2. Mettre à jour la configuration des Analyzers et des Responders : pour chaque Analyzer et Responder actif, désactivez-les puis réactivez-les dans la console d’administration de Cortex. Cela permet de s’assurer que les nouvelles références d’image sont appliquées. Note : vos Analyzers et Responders personnalisés ne sont pas concernés et ne nécessitent pas cette action.
3. Vérifier l’accès au réseau : si votre infrastructure restreint le trafic sortant, assurez-vous que Cortex peut accéder à ghcr.io pour télécharger les images requises.

Si vous avez besoin d’aide pendant cette transition, veuillez contacter notre équipe de support.

Oui, nous développons activement la prise en charge de l’authentification avec les registres Docker dans Cortex. Cela permettra aux utilisateurs de s’authentifier auprès de registres comme DockerHub, et ainsi de bénéficier de limites de téléchargement plus élevées. Nous fournirons des mises à jour sur cette fonctionnalité au fur et à mesure de l’avancement du développement.

Si vous redémarrez Cortex après le 1er avril 2025, sans mettre à jour les catalogues, il fera toujours référence à DockerHub. Comme les images existantes resteront sur DockerHub, vous pourrez continuer à les utiliser. Cependant, le dépôt DockerHub ne recevra plus de mises à jour pour les Analyzers et Responders nouveaux ou modifiés. Pour accéder aux dernières versions, suivez rapidement les étapes de migration.

Oui, les images existantes resteront sur DockerHub, mais aucune nouvelle mise à jour n’y sera publiée. Toutes les futures mises à jour seront disponibles exclusivement sur GHCR.

Non, les images Docker pour TheHive et Cortex continueront à être publiées sur DockerHub. De plus, elles seront également disponibles sur GHCR pour plus de commodité.

Cette migration est une mesure proactive visant à garantir à nos clients un accès continu aux Analyzers et aux Responders Cortex, sans interruption. Nous sommes conscients que ce type de changement peut être contraignant et restons disponibles pour vous accompagner. Si vous avez des questions ou si vous avez besoin d’aide, n’hésitez pas à contacter notre équipe de support. Nous vous remercions de votre compréhension et de votre coopération.