DevSecOps에서 에셋 생성 및 증거 수집

DevSecOps에서 에셋 정의하기

DevSecOps,의 맥락에서 자산은 엄격한 테스트와 스캔을 거치는 기본 개체를 의미합니다. 이러한 자산은 Docker 이미지에 대한 저장소의 기존 Git 커미트와 같은 다양한 양식을 포함합니다. 자산은 스캔 또는 테스트가 수행된 오브젝트를 나타내는 증거 콜렉션 프로세스의 초점입니다. 놀랍게도 DevSecOps's 유연성은 파이프라인 실행이나 COS(Cloud Object Storage) 버킷과 같은 추상적인 개체를 포함하여 기존 코드와 이미지를 넘어 이에 대한 증거를 수집할 수 있는 한 그 범위를 넓혀줍니다.

다양한 유형의 자산 유형이 있습니다.

최적의 명확성을 위해 자산을 명확하게 식별해야 합니다. 다음은 몇 가지 예입니다.

• 자산 커미트: 저장소 및 커미트 해시 포함: https://repo.url/org/repo#
• 이미지 자산: Docker 이미지 및 해당 요약 포함: docker://registry.URL/name@sha256:
• 파이프라인 실행 자산: 파이프라인 및 실행 ID 거부:

파이프라인 :// < PIPELINE_ID>/< RUN_ID>

• 기타 자산: 완전한 URL이 필요합니다. 예를 들어, 파일 이름이 있는 커미트 자산은 다음과 같습니다.

https://repo.url/org/repo# / 아티팩트 자산: /artifact.

태그, 분기 또는 기타 참조와 같은 변경 가능한 레이블을 사용하지 않는 것이 좋습니다. 이러한 레이블은 다시 읽거나 이동할 수 있으므로 잠재적인 문제가 발생할 수 있습니다.

일반 자산의 재고 표준화

일관되고 효과적인 재고 관리를 유지하려면 save_artifact 및 cocoa inventory 추가 명령을 사용할 때 특정 필드의 유효성을 검증하는 것이 중요합니다. 다음 가이드라인을 준수하면 제공된 정보를 기반으로 적절한 조치를 수행할 수 있습니다.

1. 유형: 아티팩트의 유형을 표시하는 예약된 키워드: o 커미트 자산에 대한 커미트 o 이미지 자산에 대한 이미지 o 파이프라인 실행 자산에 대한 일반적인 이미지. 기타 유형의 아티팩트에 대해서는 예를 들어 고유 유형을 적절히 표시하는 문자열인 유형을 선택할 수 있습니다. 배치 파일의 경우 배치, tar 파일의 경우 tar

2. 이름: 파이프라인 실행 전체에서 정적 아티팩트 이름을 유지보수합니다. 자동 닫기 문제의 정확성을 보장하기 위해 이름에 커미트 해시와 같은 동적 요소를 통합하지 마십시오. 예: o us.icr.io/my-registry/ my-app:20230828074614-master-commit-1@sha256:sha256-1 o my-app-202304211845444721_IKS_deployment

3. 출처: 아티팩트의 원본을 설정하기 위한 완전한 도메인 URL을 제공하십시오. 예: o us.icr.io/my-registry/my-app:20230828074614-master-commit-1@sha256:sha256-1 o https://raw.github.ibm.com/org/my-app/commit-1/deployment_iks.yml

4. 요약: 정의된 regex 패턴을 따르십시오. 'sha256' 으로 시작하고 콜론 (:) 이 뒤에 오며 실제 SHA256 해시 (sha256: ). 예: o sha256:sha256-1

5. 서명: 아티팩트가 서명된 경우 관련 서명 정보를 포함하십시오. 이러한 표준화된 가이드라인을 따르면 재고 관리 프로세스가 향상되어 자산을 정확하게 추적하고 검색할 수 있습니다.

자산 정보를 저장하는 단계

1. save_repo 명령 사용:

   다음 형식을 사용하여 리포지토리에 커밋에 대한 에셋 정보를 저장하세요. 빌드 에셋을 커밋과 연결하는 데 필요합니다.

   예:

   save_repo app-repo \
   url=https://github.ibm.com/org/my-app \
   path=my-app \
   commit=commit1 \
   branch=master \
   buildnumber=1
   

2. 저장_아티팩트 명령 사용 to store information for various asset types, such as image and deployment, by using the save_artifact command

예:

이미지 에셋에 save_artifact 명령어를 사용합니다:

save_artifact app-image \
name=us.icr.io/my-registry/my-app:20230828074614-master-commit-1@sha256:sha2561 \
type=image \
digest=sha256:sha2561 \
tags=mytag1 \
source=https://github.ibm.com/org/my-app/commit-1 \
signature=sign-1 \
provenance=us.icr.io/my-registry/my-app:20230828074614-master-commit-1@sha256:sha2561

이미지가 아닌 에셋에 save_artifact 명령 사용:

save_artifact artifact-1 \
name=my-app_IKS_deployment \
type=deployment \
signature=sign2 \
deployment_type=IKS \
provenance=https://raw.github.ibm.com/org/my-app/commit-1/deployment_iks.yml

자산 정보에서 재고 항목을 작성하는 단계

코코아 재고 추가 를 사용하십시오.

예:

1. 이미지 자산에 대한 코코아 재고 추가:

   cocoa inventory add \
   --artifact=us.icr.io/my-registry/my-app:20230828074614-master-commit-1@sha256:sha2561 \
   --name=my-app \
   --app-artifacts='{ "app": "my-app", "tags": "20230828074614-master-commit1" }' \
   --signature=sign1 \
   --provenance=us.icr.io/my-registry/my-app:20230828074614-master-commit-1@sha256:sha2561\
   --sha256=sha256:sha2561 \
   --type=image \
   --repository-url=https://github.ibm.com/org/my-app \
   --commit-sha=commit1 \
   --version=commit1 \
   --build-number=1 \
   --pipeline-run-id=pipeline-run-1\
   --org=Org\
   --repo=my-inventory-20230421184544472 \
   --git-provider=github \
   --git-token-path=./inventory-token \
   --git-api-url=https://github.ibm.com/api/v3
   

2. 비이미지 자산에 대한 코코아 재고 추가:

   cocoa inventory add \
   --artifact=my-app_IKS_deployment \
   --name=my-app_IKS_deployment \
   --app-artifacts='{ "app": "my-app", "tags": "20230828074614-master-commit1" }' \
   --signature=sign2 \
   --provenance=https://raw.github.ibm.com/org/my-app/commit-1/deployment_iks.yml \
   --sha256=sha256:sha2562 \
   --type=deployment \
   --repository-url=https://github.ibm.com/org/my-app \
   --commit-sha=commit1 \
   --version=commit1 \
   --build-number=1 \
   --pipeline-run-id=pipeline-run-1\
   --org=Org\
   --repo=my-inventory-20230421184544472 \
   --git-provider=github \
   --git-token-path=./inventory-token \
   --git-api-url=https://github.ibm.com/api/v3
   

자산의 정보를 사용하여 증거를 수집하는 단계

이전 자산 정보에 대한 증거 콜렉션에 collect-evidence 사용

예:

1. 아티팩트 자산에 대한 증거 콜렉션:

     	collect-evidence \
           --tool-type "jest" \
           --status "success" \
           --evidence-type "com.ibm.unit_tests" \
           --asset-type "artifact" \
           --asset-key "artifact-1"
   

2. 저장소 자산에 대한 증거 콜렉션:

   collect-evidence \
       --tool-type "jest" \
       --status "success" \
       --evidence-type "com.ibm.unit_tests" \
       --asset-type "repo" \
       --asset-key "repo-1"
   

CD 파이프라인에서 배치는 아티팩트를 다운로드하기 위해 아티팩트 대신 출처 필드를 참조해야 합니다.