ステージとタスク

.pipeline-config.yaml ファイルを使用してステージをカスタマイズする方法の詳細については、「 カスタムスクリプト 」および「 パイプラインパラメータ の一覧」を参照してください。

Terraform コンテキストおよび変数を構成するためのパラメーター

Infrastructure as Code ソースを定義する Terraform 定義の場合、表 1 で説明されているパラメーターを使用して、Terraform および Terraform 関連のスキャンとチェックに関連するコンテキストと変数を定義できます。

IaC CD デプロイメント・プロセスで使用されるスクリプトにも同じパラメーターが適用されます。 CD プロセスは複数のインベントリー項目を処理できるため、インベントリー項目のパラメーターの範囲を指定することができます。 スコープ (インベントリー・エントリー) の Terraform コンテキストと変数を指定するには、プロパティーの前にインベントリー・エントリー名を付けます (例: <inventory_entry>_)。 この接頭部は、環境エントリー tf-dir、 TF_VAR_<XXXX>、 tfvars-repository、 tfvars-branch、および tfvars-files に適用されます。

次に例を示します。

hello-iac-sample_TF_VAR_resource_group : Default

静的コードスキャンによるスキャンとチェック

静的コード・スキャン・ステージは、指定された IaC リポジトリーに対して多数の静的コード・アナライザー・ツールを実行します。 pipelinectl save_repo コマンドによって指定されるリポジトリーとデフォルトのアプリ・リポジトリーがスキャンされます。

アプリケーション関連の継続的統合パイプラインに対して構成可能な 静的コード・スキャン 用に定義されているいずれかの方法を使用できます。

IaC 継続的統合パイプラインは、表 2 の opt-in-* パラメーターを 1 に設定して使用可能にすることで、追加のツールを定義します。

コンプライアンス検査でのスキャンと検査

アプリケーション関連の継続的統合パイプラインに対して定義された コンプライアンス検査 は、 IaC 継続的統合パイプラインに対しても実行されます。

IaC CI パイプラインは、 opt-in- 機能を使用して有効にされたいくつかの追加検査を実行します。

IaC CI パイプラインは、1 に設定された opt-in- パラメーターを使用して使用可能にする追加のツールを定義します。

2025年12月15日より、 IBM Cloud Security and Compliance Center は非推奨となります。 既存のサービスインスタンスはすべて機能していません。

これらのスクリプトは、パイプラインが認識しているすべてのリポジトリで実行されます。 これらのスキャンにリポジトリを追加するには、セットアップ段階で提供される pipelinectl インターフェースを使用してください。 細については、 pipelinectlを参照してください。

ユーザー・スクリプトの各ステージからの予想される出力について詳しくは、カスタム・スクリプトを参照してください。

{
    "scc_rules": [
        {
            "scc_rule_id": "rule-8cbd597c-7471-42bd-9c88-36b2696456e9"
        },
        {
            "scc_rule_id": "rule-c97259ee-336d-4c5f-b436-1868107a9558"
        }
    ]
}

ビルド・アーティファクト

ビルドアーティファクトの段階では、独自のアーティファクトをビルドすることができます。 IaC CI パイプラインの場合、デフォルトのビルド機能により、Terraform 構成を含む Tar ファイルが作成されます。

デフォルトのビルド機能は、表 5 の特定のパラメーターを使用して構成できます。

カスタム・スクリプト・ステージでパラメーターとシークレットにアクセスする方法について詳しくは、カスタム・スクリプトを参照してください。

成果物の署名

署名成果物ステージは、GPG キーを使用して 1 つ以上の成果物の切り離された署名ファイルを作成するためのデフォルトの動作を提供します。

別の署名プロセスを使用するには、プロジェクトの .pipeline-config.yaml 構成を使用してこのステージをカスタマイズします。

開発にデプロイ

デプロイ・ステージでは、構成成果物を開発環境にデプロイします。 このステージの変数と資格情報は、パイプライン UI の変数およびパイプライン・トリガー Webhook ペイロードから指定できます。

Common Base Image の一部として提供されるスクリプトは、Schematics または Terraform CLI を使用してデプロイメントを実行するのに役立ちます。 デプロイメント・アクションのスクリプトを構成するためのパラメーターについては、表 8 および表 9 で説明します。

hello-iac-sample_schematics-workspace-name : workspace-for-deployment-of-hello-iac-sample

hello-iac-sample_tf-backend-s3-bucket : bucket-to-store-tfstate-of-hello-iac-sample

インベントリーへのリリース

「インベントリーへのリリース」ユーザー・スクリプト・ステージを使用して、cocoa inventory add CLI コマンドを使用して成果物をインベントリーに追加します。 cocoa inventory add について詳しくは、 cocoa inventory add を参照してください。

pipelinectl インターフェースを使用すると、 list_repos、 load_repo、 list_artifacts、 load_artifact 各コマンドを通じて、リポジトリやアーティファクトにアクセスできます。 詳しくは、 pipelinectl を参照してください。

ビルドに関するコンプライアンス・データの収集

パイプラインが正常に実行されると、ビルドに関する情報を収集できます。

すべての点検、スキャン、試験、および成果物の署名について証拠が収集され、証拠保管庫に保管される。 パイプラインのログ・ファイルも、Tekton 定義が含まれるパイプライン・データそのものと一緒にロッカーに保存されます。 ピア・レビューに対するコンプライアンス・データもこのステップで収集されます。 パイプラインは、pipelinectl を使用して、最終ビルド以降にマージされたプル要求が入っているリポジトリーを検索します。 また、このパイプラインではPRのレビュー状況を確認し、それをアーティファクトとして保存するとともに、その結果に基づいてエビデンスを作成します。

最後のスクリプトはエバリュエーターです。エビデンスの状況に基づいてパイプライン状況を緑または赤にマーク付けします。 何らかの失敗があった場合、継続的インテグレーションの実行は赤で表示されます。