Anwendung

Überprüfen Sie die Standardinformationen für die Toolchain-Einstellungen:

1. Sie können die in der Vorlage enthaltene Standardkonfiguration übernehmen.
2. Klicken Sie auf „Weiter“

Bestand

Im Bestandsrepository werden Details zu Artefakten aufgezeichnet, die von den CI-Toolchains erstellt werden.

1. Sie können die in der Vorlage enthaltene Standardkonfiguration übernehmen.
2. Klicken Sie auf Weiter.

Probleme

Das Issues-Repository zeichnet Probleme auf, die während der Ausführung der CI-Pipeline gefunden werden.

1. Sie können die in der Vorlage enthaltene Standardkonfiguration übernehmen.
2. Klicken Sie auf „Weiter“

Geheime Schlüssel

Mehrere Werkzeuge in dieser Toolchain und möglicherweise in Ihren anpassbaren Skripten benötigen Geheimnisse für den Zugriff auf privilegierte Ressourcen. Ein IBM Cloud-API-Schlüssel ist ein Beispiel für ein solches Geheimnis. Speichern Sie diese Geheimnisse sicher in einem Programm zur Verwaltung von Geheimnissen, wie z. B IBM Key Protect for IBM Cloud, IBM Cloud® Secrets Manager, oder HashiCorp Vault. Das Verwaltungswerkzeug für Geheimnisse kann in die Toolchain integriert werden, so dass Sie die Geheimnisse in Ihrer Tekton-Pipeline einfach referenzieren können.

1. Dieses Tutorial verwendet IBM Cloud® Secrets Manager als Tresor für Geheimnisse. Die Felder Region, Ressourcengruppe und Dienstleistungsname werden automatisch auf der Grundlage der verfügbaren Auswahlmöglichkeiten ausgefüllt. Klicken Sie auf die Dropdown-Anzeigen, um die anderen Auswahlmöglichkeiten zu sehen.
2. Geben Sie Ihren Secrets Manager Instanznamen ein.
3. Wählen Sie die Art der Autorisierung aus der Dropdown-Liste aus.
4. Klicken Sie auf Weiter.

Nachweisspeicher

Das Evidence Repository speichert alle Beweise und Artefakte, die von der DevSecOps CI-Pipeline erzeugt werden.

1. Schalten Sie den IBM Cloud Object Storage Bucket-Schieberegler um, um alle Beweise im IBM Cloud Object Storage Bucket zu speichern, der auf der nächsten Seite konfiguriert werden kann.
2. Übernehmen Sie die Standardeinstellungen.
3. Klicken Sie auf Weiter.

Wolke Object Storage Eimer

Sie müssen über die Instanz IBM Cloud Object Storage und einen Bucket verfügen, der als Compliance Evidence Locker fungiert.

1. Die Felder Cloud Object Storage instance, Bucket name und Cloud Object Storage endpoint werden automatisch ausgefüllt.
2. Geben Sie Ihren Service ID API-Schlüssel ein.
   • Bevorzugt: Ein vorhandener Schlüssel kann durch Anklicken des Schlüsselsymbols aus einem Geheimnistresor importiert werden.
   • Ein vorhandener Schlüssel kann kopiert und eingefügt werden.
3. Klicken Sie auf Weiter.

Das Feld „Endpunkt“ ist optional. Es wird empfohlen, den Endpunkt während der Einrichtung der Toolchain oder während des Pipelinelaufs auszuwählen oder anzugeben.

Bereitstellung

Konfigurieren Sie das Inventarziel und den Cluster „ Kubernetes “, in dem die Anwendung bereitgestellt ist:

1. Der Standardname der App lautet „ hello-compliance-app “.

2. Geben Sie Ihren API-Schlüssel für „ IBM Cloud “ ein. Der API-Schlüssel wird bei verschiedenen Aufgaben für die Interaktion mit dem CLI-Tool „ IBM Cloud “ verwendet.

   • Bevorzugt: Ein vorhandener Schlüssel kann durch Anklicken des Schlüsselsymbols aus einem Geheimnistresor importiert werden.
   • Ein vorhandener Schlüssel kann kopiert und eingefügt werden.
   • Von hier aus kann durch Klicken auf „Neu +“ ein neuer Schlüssel erstellt werden.

   Der neu generierte API-Schlüssel kann sofort in einem Geheimnistresor gespeichert werden.

3. Wenn der API-Schlüssel gültig ist und ausreichenden Zugriff hat, werden die Container Registry, Container Registry namespace, Dev cluster region, Ressource group, Cluster name, Cluster namespace werden automatisch ausgefüllt. Sie können jedes dieser Felder an Ihre Konfiguration anpassen.

4. Klicken Sie auf Weiter.

Artefaktsignierung

Die Artefakte werden von der Toolchain erstellt und in das Inventar aufgenommen und müssen signiert werden, bevor sie in der Produktion eingesetzt werden. Die Pipeline verwendet Skopeo als Standardwerkzeug, um die Artefaktsignierung zu ermöglichen. Sie können einen vorhandenen GPG-Schlüssel verwenden oder ein neues GPG-Schlüsselpaar erstellen.

1. Geben Sie den GnuPG Private Key ein. Alternativ können Sie auch einen neuen GPG-Schlüssel erstellen, indem Sie auf NEU klicken. Weitere Informationen finden Sie unter Generieren eines GPG-Schlüssels.
2. Klicken Sie auf Weiter.

DevOps Insights

Die IBM Cloud DevOps Insights ist in der Toolchain enthalten. Zeigen Sie Ihre Pipeline-Testergebnisse für jeden Build, für jede Bereitstellung und jede Umgebung an.

1. Übernehmen Sie die Standardkonfiguration.
2. Klicken Sie auf Weiter.

Optionale Tools

Vereinfachter Ablauf von Aufgaben in der Pipeline

Im DevSecOps PR-Pipeline-Aufgabenfluss werden die Utility-Aufgaben weggelassen. Zum Beispiel die Aktualisierung des Status auf GitHub, das Abrufen von Anmeldeinformationen und so weiter. In der Welt von DevSecOps ist Shift Left eine Praxis, die Probleme wie Defekte und Sicherheitslücken verhindert und findet. Wie in der Abbildung dargestellt, führt Shift Left auch früh im Softwareauslieferungsprozess Konformitätsprüfungen durch.

• Prüfungen, die auf den Code/das Repository angewendet werden können und die nicht gebaut werden müssen. Das Artefakt sollte so früh wie möglich ausgeführt werden, um zu verhindern, dass nicht konformer Code in den Hauptzweig des Repositorys eingebunden wird. Die Beweise werden nicht in der PR-Pipeline gesammelt. Ziel der Pipeline ist es, die Überprüfung der Einhaltung der Vorschriften so weit wie möglich nach links zu verlagern.
• Alle Prüfungen werden durchgeführt, wenn eine Pipeline läuft. Selbst wenn eine vorherige Prüfung fehlschlägt, läuft die Pipeline zur nächsten weiter. Um festzustellen, ob bei Ihrem Lauf Fehler aufgetreten sind, müssen Sie den letzten Schritt Ihrer Pipeline überprüfen, der einen Pipeline-Evaluator enthält.
• Wenn Sie versuchen, eine Notfallkorrektur zusammenzuführen und die Konformitätsprüfungen umgehen wollen. Fügen Sie Ihrer Zusammenführungsanforderung ein Etikett hinzu, um die Korrektur zu kennzeichnen. Bei der Ausführung der CD-Pipeline muss dasselbe Label angegeben werden.

PR-Pipeline ausführen

Sie können die CI-Pipeline auf eine der folgenden Arten starten:

• Automatisch: Nach einer erfolgreich ausgeführten PR-Pipeline, durch Freigeben und Zusammenführen der Pull-Anforderung mit dem Masterzweig.
• Manuell: Um die CI-Pipeline manuell auszulösen, wählen Sie die Karte der Bereitstellungspipeline aus, klicken Sie auf „ Pipeline ausführen “ und wählen Sie „ Manueller Trigger “.

In diesem Tutorial wurde die CI-Pipeline ausgelöst, nachdem Sie Ihre Codeänderungen in den Master-Zweig Ihres Anwendungs-Repositorys zusammengeführt hatten.

1. Klicken Sie auf der Seite „ CI-Toolchain “ auf die Kachel „ ci-pipeline “.
2. Klicken Sie auf Ausführen neben dem Namen Ihrer Pipeline. Beobachten Sie, dass ein Pipelinelauf läuft. Warten Sie, bis der Pipeline-Lauf abgeschlossen ist.
3. Nachdem die CI-Pipeline erfolgreich ausgeführt wurde, klicken Sie auf die Pipeline, um die abgeschlossenen Schritte zu erkunden und die Seite wie im Screenshot zu sehen.

CI-Pipeline ausführen

In diesem Dokument wurde die CI-Pipeline ausgelöst, nachdem Sie Ihre Codeänderungen in den Master-Zweig Ihres Anwendungs-Repositorys zusammengeführt hatten.

1. Klicken Sie auf der Seite „CI-Toolchain“ auf die Kachel „ ci-pipeline “.
2. Beobachtung: Eine Ausführung der Pipeline ist aktiv. Warten Sie, bis die Ausführung der Pipeline abgeschlossen ist.

Nachdem die CI-Pipeline erfolgreich ausgeführt wurde, können Sie auf die Pipeline-Aufgaben klicken, um die abgeschlossenen Schritte anzuzeigen.

Vereinfachter Ablauf von Aufgaben in der Pipeline

Im DevSecOps CI-Pipeline-Aufgabenfluss werden die Utility-Aufgaben weggelassen. Zum Beispiel die Aktualisierung des Status auf GitHub, das Abrufen von Anmeldeinformationen und so weiter. Grün dargestellte Tasks geben Nachweise aus.

Die bei allen Konformitätsprüfungen in der CI-Pipeline gesammelten Nachweise werden in das Repository „evidence-locker“ übertragen, das bei der Einrichtung der Toolchain bereitgestellt wurde. Die von CI bereitgestellten Belege sind unter raw/ci/<pipeline-run-id>/*.json zu finden.

Die Nachweise werden in der Instanz „ DevOps Insights “ innerhalb der Toolchain veröffentlicht. Sie können durch Anklicken der Werkzeugkarte DevOps Insights in der Werkzeugkette navigieren. Die erfassten Nachweise können Sie auf der Seite 'Qualitätsdashboard' überprüfen.

Um festzustellen, ob bei der Ausführung Ihrer Pipeline Fehler aufgetreten sind, müssen Sie den letzten Schritt Ihrer Pipeline überprüfen, der einen Pipeline-Evaluator enthält.

Aktive Anwendung anzeigen

Nach einem erfolgreichen Durchlauf der CI-Pipeline wird die Beispielanwendung auf Ihrem „ Kubernetes “-Cluster bereitgestellt und läuft im Dev-Namespace.

Die Anwendung „ URL “ ist am Ende des Protokolls im Schritt „ run stage “ der Aufgabe „ deploy-dev “ des CI-Pipeline-Laufs zu finden. Verwenden Sie die URL URL, um zu überprüfen, ob die Anwendung läuft.