CLI 명령 아키텍처

collect-evidence 기능은 두 가지 인터페이스를 통해 사용할 수 있습니다:

1. 셸 스크립트 래퍼 (collect-evidence): 이전 버전과의 호환성을 제공하는 기존 bash 스크립트 인터페이스
2. 직접 CLI 명령 (cocoa locker evidence collect): 모든 기능에 액세스할 수 있는 기본 CLI 인터페이스

사용량

collect-evidence 스크립트에는 다음 매개변수가 필요합니다.

• --tool-type 증거 데이터를 제공하는 도구의 ID입니다. 예를 들어, 다음과 같습니다. "오와스프-잽-ui", "크라"
• --evidence-type 증거 유형의 ID. 예를 들어, 다음과 같습니다. com.ibm.image_vulnerability_scan, com.ibm.unit_tests
• --asset-key pipelinectl 자산의 키입니다. 다음 명령의 경우 load_artifact <key> or load_repo <key>
• --asset-type pipelinectl의 자산 유형이며 다음 유형 중 하나일 수 있습니다. repo, artifact
• --status 증거의 상태는 다음 중 하나일 수 있습니다: success, pending, failure
• --assets 여러 개의 자산-키 및 자산-유형 쌍을 지정하십시오. 예를 들어, --assets asset-key1:asset-type1 --assets asset-key2:asset-type2 를 사용할 수 있습니다. 이 옵션을 사용하는 경우에는 asset-key및 asset-type을 별도로 지정하지 마십시오.

다음 매개변수는 선택 사항입니다:

• --attachment 결과로 처리되고 증거에 첨부될 파일입니다. 여러 파일에 대해 매개변수를 여러 번 지정할 수 있습니다. 이미지 서명의 경우 --attachment 매개변수를 사용하여 서명 파일이 첨부되었는지 확인하세요. 서명 파일에는 키 ID, 알고리즘, 서명된 다이제스트와 같은 서명 세부 정보가 포함되어야 합니다. 일반적인 형식에는 JSON이나 TXT가 있습니다.
• --meta 증거에 추가될 임의의 메타데이터입니다. 매개변수는 'key = value' 쌍을 허용하며 여러 번 지정할 수 있습니다. 서명 환경이나 서명 중에 사용된 특정 구성 등 이미지 서명 프로세스와 관련된 메타데이터를 포함할 수 있습니다.
• --additional-comment 파이프라인이 실패한 경우 문제에 추가되는 주석입니다.

도움을 보려면 다음 명령을 사용하십시오:

collect-evidence --help

# example on how to read the output into a variable in bash
read -r status < <(collect-evidence "${evidence_params[@]}")
echo $status # success

collect-evidence-version=v2

cocoa locker evidence collect \
  --tool-type "sonarqube" \
  --evidence-type "com.ibm.static_scan" \
  --assets "app-repo:repo" \
  --status "success" \
  --attachment ./sonarqube-result.json \
  --pipeline-run-id "${PIPELINE_RUN_ID}" \
  --pipeline-namespace "ci" \
  --incident-org "my-org" \
  --incident-repo "compliance-issues"

cocoa locker evidence collect \
  --tool-type "detect-secrets" \
  --evidence-type "com.ibm.detect_secrets" \
  --assets "app-repo:repo" \
  --status "success" \
  --pipeline-run-id "${PIPELINE_RUN_ID}" \
  --pipeline-namespace "ci" \
  --incident-org "my-org" \
  --incident-repo "compliance-issues"

cocoa locker evidence collect \
  --tool-type "va" \
  --evidence-type "com.ibm.cloud.image_vulnerability_scan" \
  --assets "image-0:artifact" \
  --status "success" \
  --pipeline-run-id "${PIPELINE_RUN_ID}" \
  --attachment image-0_va-report.json \
  --pipeline-namespace "ci" \
  --incident-org "my-org" \
  --incident-repo "compliance-issues"

collect-evidence \
  --tool-type "sonarqube" \
  --evidence-type "com.ibm.static_scan" \
  --asset-type "repo" \
  --asset-key "app-repo" \
  --status "success" \
  --attachment ./sonarqube-result-1.json \
  --attachment ./sonarqube-result-2.json \
  --meta environment=staging

collect-evidence \
  --tool-type "ciso-code-signing" \
  --evidence-type "com.ibm.cloud.image_signing" \
  --asset-type "artifact" \
  --asset-key "signed-image" \
  --status "success" \
  --attachment ./signature.json \   # The signature details in JSON format
  --attachment "./${artifact}.fingerprint" \ #  The fingerprint is a hash value generated from the artifact, ensuring integrity and authenticity.
  --meta environment=production

cocoa locker evidence collect \
  --tool-type "sonarqube" \
  --evidence-type "com.ibm.static_scan" \
  --assets "app-repo:repo" \
  --status "success" \
  --attachment ./sonarqube-result.json \
  --pipeline-run-id "${PIPELINE_RUN_ID}" \
  --pipeline-namespace "ci" \
  --incident-org "my-org" \
  --incident-repo "compliance-issues"

지원되는 도구 형식

현재 구현은 현재 다음 도구를 지원합니다 ( --tool-type 매개변수로 제공됨).

CycloneDX 메타데이터는 이슈 관리를 위해 도구 감지 기능을 사용하고 있습니다.

collect-evidence 스크립트가 지원되지 않는 도구 유형으로 호출되는 경우 스크립트는 첨부 파일을 처리하려고 시도하지 않습니다. 또한 안건 처리를 건너뛰고 증거 콜렉션이 중지되지 않습니다.

스크립트가 지원되는 도구에서 첨부 파일을 제공하지만 첨부 파일을 처리할 수 없는 경우 문제 처리를 건너뛰고 증거 콜렉션이 중지되지 않습니다.

증거 유형

--evidence-type 매개변수를 사용하여 증거 유형을 설정할 수 있습니다. 모든 유형을 설정할 수 있지만 IBM Cloud® Compliance Manager 은 다음 증거 유형을 지원합니다.

• com.ibm.unit_tests
• com.ibm.detect_secrets
• com.ibm.branch_protection
• com.ibm.static_scan
• com.ibm.code_vulnerability_scan
• com.ibm.code_bom_check
• com.ibm.code_cis_check
• com.ibm.cloud.image_vulnerability_scan
• com.ibm.cloud.image_signing
• com.ibm.dynamic_scan
• com.ibm.cloud.image_signing
• com.ibm.acceptance_tests
• com.ibm.prod_change_request
• com.ibm.close_change_reques

증거 유형 수집 및 도구 매핑

스캔이 실패하거나 첨부파일을 구문 분석할 수 없는 경우, 이 도구는 자동으로 비사고 문제를 생성하여 실패를 추적합니다.

자산 요구사항

이 도구를 사용하여 수집된 증거는 V2 증거 콜렉션 작업 및 관련 증거 보관 업데이트의 일부입니다.

이 새 메소드는 자산 기반 증거에 초점을 맞춥니다. 즉, 해당 아티팩트 또는 저장소에서 실행되고 증거에 대한 결과를 생성한 스캔 및 테스트를 통해 증거가 아티팩트 및 저장소에 연결됩니다. 예를 들어, 다음과 같습니다.

• 특정 커미트가 있는 저장소는 커미트 자산이 되며, 이는 스캔되어 커미트 자산에 대한 증거를 작성합니다.
• 동일한 저장소 및 커미트를 사용하여 이미지가 빌드됩니다. 이미지는 소스 자산, 저장소 및 커미트와 관련된 자산이 됩니다.
• 이미지가 스캔되고 증거가 작성됩니다. 모든 스캔 결과는 증거, 해당 자산 및 관련 자산을 통해 연결됩니다.

이 모든 작업을 함께 수행하려면 --asset-type 및 --asset-key 매개변수와 함께 제공되는 자산이 일부 요구사항을 준수해야 합니다.

수집 중인 다중 자산-증거

수집 증거를 사용하여 여러 자산에 대한 증거의 동시 콜렉션을 구성할 수 있습니다. 여러 자산-키 및 자산-유형 쌍을 지정하는 --assets 플래그를 사용하여 증거 콜렉션을 시작합니다. 예를 들어, input --assets asset-key1:asset-type1 --assets asset-key2:asset-type2입니다. 이 옵션을 선택하는 경우 자산 키 및 자산 유형을 별도로 표시하지 마십시오.

다중 자산 콜렉션에 대한 다음과 같은 핵심 사항을 기억하십시오.

• status, attachment, tool-type, evidence-type 및 upload-logs 는 모든 자산에서 일정합니다.
• 기본적으로 여러 자산을 지정할 때 증거 처리는 레거시 플로우를 따릅니다. 단일 자산을 지정하는 경우 도구 또는 첨부에 특정한 플로우를 통해 증거 처리가 발생합니다.
• 장애가 발생하는 경우 자산별로 문제가 작성됩니다. 이러한 안건은 증거 수집을 성공적으로 다시 실행하면 닫힙니다. 종결은 사용자가 지정한 자산과 상관됩니다.
• 결합된 모든 자산을 포함하는 ID가 특징인 단일 증거 파일이 생성됩니다.