코드 스팟

코드 스팟은 다음을 포함하여 지원되는 소스 코드 언어와 관련이 있습니다:

• Node.js (npm, Yarn 또는 Gradle 사용)
• Java (Maven 또는 Gradle 사용)
• Golang
• Python
• Dockerfile
• Terraform 구성 언어

' code 스팟은 다음 프로세스를 처리합니다:

• building' : 주어진 소스 코드의 빌드를 수행하는 도구를 정의합니다.
• unit-testing' : 빌드 결과의 단위 테스트를 수행하는 도구를 찾습니다.

배포 장소

' deployment 스팟은 배포 리소스 및 도구를 포함한 배포 수단을 찾습니다. deployment 스팟에는 배포 도구가 나열된 배포 프로세스가 있습니다. 현재 지원되는 배포 차량은 다음과 같습니다:

• ' Pod, ' ReplicaSet' , ' ReplicationController' , ' Deployment' , ' Daemonset' , ' StatefulSet' , ' Job' , ' Cronjob' , ' NetworkPolicy' , ' Ingress' , ' Service' , ' Route ' 같은 Kubernetes 리소스 정의 - 도구로서의 kubectl

• 웹스피어 리버티 애플리케이션 사용자 정의 리소스- 도구로서의 kubectl

• Open Liberty 애플리케이션 커스텀 리소스- 도구로서의 kubectl

• Helm 차트- 도구로서의 헬름

• Terraform 구성- IBM Cloud Schematics 또는 도구로서의 Terraform CLI

• Wazi DeploymentMethod 사용자 지정 리소스- 도구로서의 Wazi 배포

• IBM Cloud Code Engine 배포를 위해 구성된 경우 Dockerfile- 도구로서의 IBM Cloud Code Engine CLI

합격 시험 장소

' acceptance-test 스팟은 실행할 수락 테스트 세트를 찾습니다. acceptance-test 스팟에는 수락 테스트 세트를 실행할 도구를 식별하는 ' acceptance-testing 프로세스가 있습니다.

동적 스캔 지점

' dynamic-scan 스팟은 동적 스캔을 위한 위치를 식별합니다. 동적 스캔 지점에는 동적 스캔 중에 호출되는 스캔 도구를 나열하는 ' scanning 프로세스가 있습니다.

하위 웹훅 트리거를 별표로 표시할 수 있는 유일한 지원 도구는 OWASP ZAP 스캔입니다.

릴리스 지점

' release 스팟은 릴리스 프로세스를 찾습니다. 릴리스 스팟에는 릴리스 단계에서 실행할 도구가 나열된 ' releasing 프로세스가 있습니다. 현재 릴리스 프로세스에 지원되는 도구는 다음과 같습니다:

• 시맨틱 릴리스
• ' maven deploy ' 단계의 maven을 사용합니다.

인젝션 브랜치 구성

' inferred-devsecops-branch 파이프라인 속성을 사용하여 DevSecOps 추론 파일을 삽입할 브랜치 이름을 구성할 수 있습니다. 기본값은 inferred-devsecops입니다.

push-inferred-pipeline-configuration-files 파이프라인 속성( push-polyglot-files 속성은 push-inferred-pipeline-configuration-files 속성으로 대체됨)을 사용하여 inferred-devsecops 브랜치의 생성 및 업데이트를 활성화하거나 비활성화합니다

스팟 무시

정규식을 사용하여 추출하는 동안 특정 지점을 무시할 수 있습니다. 다음 구성 옵션이 사용 가능합니다.

• ignore-code-spot-pattern' : 지정된 정규식과 일치하는 코드 스폿을 무시합니다.
• ignore-deployment-spot-pattern' : 지정된 정규식과 일치하는 배포 지점을 무시합니다.
• ignore-dynamic-scan-spot-pattern' : 지정된 정규식과 일치하는 동적 스캔 지점을 무시합니다.
• ignore-acceptance-test-spot-pattern' : 지정된 정규식과 일치하는 허용 테스트 지점을 무시합니다.
• ignore-release-spot-pattern' : 지정된 정규식과 일치하는 릴리스 지점을 무시합니다.

Code Engine 구성

배포에 IBM Cloud Code Engine 을 사용하는 경우 Code Engine 프로젝트를 지정하고 다음 파이프라인 환경 속성을 사용하여 빌드 프로세스를 구성합니다:

• code-engine-project' : Code Engine 프로젝트를 지정합니다.
• code-engine-build-use-native-docker: (기본값: ' false) ' ibmcloud code-engine buildrun ' 명령 대신 Docker CLI를 사용할지 여부를 나타냅니다.
• code-engine-disable-buildpacks-strategy(기본값 false) 빌드 프로세스가 buildpacks 전략을 사용해서는 안됨을 나타냅니다( code-engine-project 이 설정된 경우에만 유효)
• root-as-build-context: (기본값: false )는 Dockerfile 관련 빌드 도구( docker 또는 code-engine 등)의 빌드 컨텍스트가 Dockerfile이 들어 있는 폴더가 아니라 저장소의 루트를 빌드 컨텍스트로 사용해야 함을 나타냅니다.

컨테이너 이미지 빌드 구성

• container-image-builder: (기본값 docker) Dockerfile 관련 빌드 시 컨테이너 이미지 빌드에 사용할 도구(docker 또는 podman)를 지정하십시오.
• root-as-build-context: (기본값: false)는 Dockerfile 관련 빌드 도구(예: docker, podman 또는 code-engine)의 빌드 컨텍스트가 Dockerfile이 포함된 폴더가 아닌 저장소의 루트를 사용해야 함을 나타냅니다.

Golang 구성

Golang 에 대한 스팟 추출 프로세스를 구성하려면 다음 파이프라인 환경 속성을 설정합니다:

• go-ignore-main: (기본값: ' false) 메인 소스 인수에 대한 메인 패키지 및 메인 함수 감지에 초점을 맞추지 않도록 코드 스팟 추출을 수행할지 여부를 나타냅니다.
• go-output' : go 빌드 명령에서 실행 가능한 출력 파일을 지정합니다.

Gradle 구성

설정, 단위 테스트, 빌드 아티팩트 및 승인 테스트에 대한 Gradle 작업을 구성하려면 다음 파이프라인 환경 속성을 사용합니다:

• gradle-setup-tasks: (기본값: ' assemble) 쉼표로 구분된 설정 단계용 Gradle 작업 목록입니다.
• gradle-unit-testing-tasks: (기본값: ' test' ) 단위 테스트 단계에 대한 Gradle 작업의 쉼표로 구분된 목록입니다.
• gradle-build-artifact-tasks' : (기본값: ' build' ) 빌드 아티팩트 단계에 대한 Gradle 작업의 쉼표로 구분된 목록입니다.
• gradle-acceptance-testing-tasks' : 쉼표로 구분된 수락 테스트 단계의 Gradle 작업 목록입니다.

NPM 구성

NPM 단위 테스트 및 수락 테스트 스크립트 감지를 구성할 수 있습니다.

• hint-npm-unit-testing-script: (기본값: ' test) NPM 단위 테스트 스크립트 감지를 위한 힌트입니다.
• hint-npm-acceptance-testing-script: (기본값: ' acceptance-test) NPM 허용 테스트 스크립트 감지를 위한 힌트입니다.

Python 구성

Python Poetry 버전을 구성하려면 다음 파이프라인 환경 속성을 사용하세요:

• hint-python-poetry-version: (기본값: ' 1.8.2) Python 시 버전에 대한 힌트입니다.
• discover-python-unittest-from-ancestor(기본값: false)는 파이썬 unittest 검색의 시작점으로 조상 디렉터리가 사용됨을 나타냅니다(예: 저장소 루트에서 requirements.txt 을 포함하는 디렉터리에서 단위 테스트를 검색하기 위해 파이썬 유니테스트 파일에 가장 가까운 requirements.txt (있는 경우)이 아닌).

Terraform 구성

Terraform 배포 프로세스를 구성하려면 다음 파이프라인 환경 속성을 사용하세요:

• terraform-deployment: (기본값: ' false' ) 상태 저장소로 Terraform 및 Cloud Object Storage 선호하는 배포 수단으로 Schematics 비활성화합니다.

Helm 구성

헬름 릴리스 프로세스를 구성하려면 다음 파이프라인 환경 속성을 사용하십시오:

• helm-oci-registry-support: (기본값 false) 릴리스 단계에서 헬름 차트를 OCI 레지스트리로 푸시할 수 있도록 활성화합니다.
• configuration-file-pattern-<config_file_type>: 주어진 유형의 구성 파일을 식별할 수 있는 패턴을 정의하십시오. 예를 들어, configuration-file-pattern-dev-config=chart/dev-values.yaml 명령을 실행하면 chart/dev-values.yaml 에 있는 파일(들)이 dev-config`` 유형의 아티팩트로 선택됩니다.

아티팩트 업로드

아티팩트 업로드 프로세스를 구성하려면 다음 파이프라인 환경 속성을 사용하세요:

• artifact-upload-to-devsecops-cos: (기본값: ' false' ) 이미지가 저장되지 않은 아티팩트에 대해 DevSecOps CLI 아티팩트 업로드를 사용하여 Cloud Object Storage 버킷에 아티팩트를 업로드할 수 있도록 설정합니다.

파이프라인 실행 단계에서의 환경 변수 주입

추론된 DevSecOps 파이프라인 구성 기능은 단계 실행 중에 파이프라인 및 트리거 속성을 환경 변수로 내보낼 수 있는 ' export-properties 유틸리티를 제공합니다. 이 유틸리티는 모든 사용자 지정 단계에서 호출됩니다:

export-properties "GLOBAL" && export-properties "${STAGE^^}"

도구 실행 및 구성

추론된 DevSecOps 파이프라인 구성 기능의 일부 도구는 파이프라인 및 트리거 속성을 사용하여 상호 보완적인 구성을 추론합니다.

기본적으로 브랜치 보호 사용

DevSecOps PR 및 CI 파이프라인은 기본적으로 소스 코드 리포지토리에서 브랜치 보호를 활성화합니다. 이 확인은 코드 설정 단계에서 이루어집니다.

지점 보호 비활성화

브랜치 보호를 비활성화하려면 ' setup-branch-protection 속성을 ' false'로 설정합니다.

지점 보호 상태 확인 사용자 지정

브랜치 보호 상태 확인을 위한 접두사를 사용자 지정하려면 ' branch-protection-status-check-prefix ' 속성을 설정합니다. 기본 접두사는 ' tekton 입니다.

비공개 리포지토리에 대한 시 구성하기

Poetry(pyproject.toml '은 코드 스팟으로 식별됨)를 사용하고 다음과 같이 종속성을 가져오기 위해 대체 소스 또는 리포지토리가 정의되어 있는 경우:

[[tool.poetry.source]]
name = "local"
url = "<artifactory-url>"
secondary = true

또는 Poetry가 관련된 경우(예: build-system 섹션이 포함된 pyproject.toml, build-backend 이 식별된 릴리스 지점인 경우 poetry.core.masonry.api ) 비공개 레지스트리에 인증하기 위해 자격 증명을 제공해야 할 수 있습니다.

IBM Cloud 사설 리포지토리로 인증하기

이 ' local 소스 리포지토리에 대한 자격 증명을 제공해야 합니다. 자격 증명 구성에 대한 시 문서에 따르면 http 사용자 및 비밀번호를 제공하는 환경 변수는 ' POETRY_HTTP_BASIC_LOCAL_USERNAME '과 ' POETRY_HTTP_BASIC_LOCAL_PASSWORD'여야 한다고 명시되어 있습니다.

환경 변수 주입 기능을 사용하여 다음 파이프라인 환경 속성을 추가합니다:

• 적절한 값으로 ENV_GLOBAL_POETRY_HTTP_BASIC_LOCAL_USERNAME '(텍스트)을 입력합니다
• 적절한 보안 값을 가진 ENV_GLOBAL_POETRY_HTTP_BASIC_LOCAL_PASSWORD '(보안됨)

IBM Cloud 사용자 지정 설정 파일에 대한 Maven 구성

Maven 프로젝트에서 ' ci-settings.xml 과 같은 사용자 지정 파일 이름으로 특정 설정 파일을 정의하는 경우 PR, CI 파이프라인 또는 트리거 수준 속성에서 값이 ' ci_settings.xml '로 설정된 파이프라인 환경 속성 maven-user-settings-file-path를 정의합니다.

또한 다음과 같이 해결해야 할 ' env.<VARIABLE> '이 있는 경우:

    <server>
      <username>${env.MAVEN_USERNAME}</username>
      <password>${env.MAVEN_PASSWORD}</password>
      <id>central</id>
    </server>

환경 변수 주입 기능을 사용하여 PR 및 CI 파이프라인에 2개의 파이프라인 속성을 추가하여 이러한 변수를 제공하세요:

• maven 사용자 이름에 사용할 값으로 ENV_GLOBAL_MAVEN_USERNAME '(텍스트)을 추가합니다
• ENV_GLOBAL_MAVEN_PASSWORD '(보안)을 maven 비밀번호에 사용할 값으로 설정합니다

Go 빌드에 정적 링크 활성화

기본적으로 ' go build '은 동적으로 연결된 바이너리를 생성합니다. Docker 컨테이너에서 사용하려면 빌드 중에 ' CGO_ENABLED=0 '을 설정하여 정적 링크를 활성화하세요.

Go 빌드를 위한 환경 변수 구성

정적 연결을 사용하려면 환경 변수 주입 기능을 사용하여 CI 파이프라인에 다음 파이프라인 환경 속성을 추가하세요:

• ENV_SETUP_CGO_ENABLED 값을 ' 0'로 설정합니다