Pipeline de integração contínua para infraestrutura como Código

Estágios e tarefas

Para obter mais informações sobre como personalizar os estágios usando o arquivo .pipeline-config.yaml, consulte Scripts personalizados. e) e listas Parâmetros de pipeline.

Parâmetros para configurar o contexto Terraform e variáveis

Para definições de Terraform que definem infraestrutura-como-fonte de código, o contexto e as variáveis que estão relacionadas a Terraform e Terraform-relacionadas a varredura e verificações podem ser definidas utilizando-se os parâmetros descritos na Tabela 1.

Os mesmos parâmetros se aplicam para os scripts que são usados em um processo de implementação de CD IaC. Como o processo do CD pode processar várias entradas de inventário, é possível fazer o escopo de um parâmetro para uma entrada de inventário. Para especificar o contexto Terraform e variáveis para um escopo (entrada de inventário), prefixe a propriedade com o nome de entrada do inventário, por exemplo: <inventory_entry>_. Este prefixo se aplica para as entradas de ambiente tf-dir, TF_VAR_<XXXX>, tfvars-repository, tfvars-branch e tfvars-files.

Exemplo:

hello-iac-sample_TF_VAR_resource_group : Default

Varreduras e verificações na varredura de código estático

O estágio de varredura de código estático executa diversas ferramentas de analisador de código estático nos repositórios IaC especificados. É feita a varredura do repositório do aplicativo padrão e dos repositórios fornecidos pelo comando pipelinectl save_repo.

Você pode usar qualquer um dos métodos que são definidos para scan code scan configuráveis para aplicação relacionar pipeline de integração contínua.

O pipeline de integração contínua IaC define mais ferramentas que são ativadas usando os parâmetros opt-in-* da Tabela 2 definida como 1.

Verificações e varreduras nas verificações de conformidade

verificações de conformidade definidas para pipeline de integração contínua relacionada ao aplicativo também são realizadas para o pipeline de integração contínua IaC.

O pipeline de CI IaC executa algumas verificações adicionais que são ativadas usando recursos opt-in-.

O pipeline de IC IaC define mais ferramentas que são ativadas usando os parâmetros opt-in- configurados para 1.

A partir de 15 de dezembro de 2025, o IBM Cloud Security and Compliance Center será descontinuado. Todas as instâncias de serviço existentes estão inoperantes.

Esses scripts são executados em todos os repositórios que o pipeline conhece. Para adicionar repositórios a essas varreduras, use a interface pipelinectl que é fornecida em seu estágio de configuração. Para obter mais informações, consulte pipelinectl.

Para obter mais informações sobre a saída esperada dos estágios de scripts do usuário, consulte Scripts customizados.

{
    "scc_rules": [
        {
            "scc_rule_id": "rule-8cbd597c-7471-42bd-9c88-36b2696456e9"
        },
        {
            "scc_rule_id": "rule-c97259ee-336d-4c5f-b436-1868107a9558"
        }
    ]
}

Artefato de compilação

No estágio de criação de artefato, você pode criar seus próprios artefatos. Para o pipeline de CI IaC, o recurso de construção padrão cria um arquivo Tar que contém a configuração Terraform.

O recurso de construção padrão pode ser configurado com o uso de parâmetros específicos da Tabela 5.

Para obter mais informações sobre como acessar parâmetros e segredos em estágios de scripts customizados, consulte Scripts customizados.

Sinal de artefato

O estágio de artefato de sinais fornece um comportamento padrão para usar uma chave GPG para criar um arquivo de assinatura descolado para um ou mais artefatos.

Para usar um processo de sinais diferente, personalize esse estágio usando a configuração .pipeline-config.yaml em seu projeto.

Implementar no desenvolvimento

O estágio deploy implementa artefato de configuração em um ambiente de desenvolvimento. As variáveis e credenciais para este estágio podem ser fornecidas a partir de variáveis na IU do pipeline e de carga de útil do webhook do acionador do pipeline.

Os scripts que são fornecidos como parte da imagem base comum podem ajudar a realizar uma implementação usando esquemas ou CLI Terraform. Os parâmetros para configurar os scripts para a ação de implantação estão descritos na Tabela 8 e na Tabela 9.

hello-iac-sample_schematics-workspace-name : workspace-for-deployment-of-hello-iac-sample

hello-iac-sample_tf-backend-s3-bucket : bucket-to-store-tfstate-of-hello-iac-sample

Liberação para o inventário

Use o estágio release to inventory user script para incluir artefatos no inventário, usando o comando da CLI cocoa inventory add CLI command. Para obter mais informações sobre cocoa inventory add, consulte adicionar estoque de cacau.

Você pode usar a interface pipelinectl para acessar seus repositórios e artefatos usando os comandos list_repos, load_repo, list_artifacts e load_artifact. Para obter mais informações, consulte pipelinectl.

Coleta de dados de conformidade sobre a construção

Após a execução bem-sucedida do pipeline, é possível coletar informações sobre a construção.

As evidências são coletadas em todas as verificações, digitalizações, testes e assinaturas de artefatos e são colocadas no armário de evidências. Os arquivos de log do pipeline também são salvos no armazenamento, juntamente com os dados do próprio pipeline, contendo as definições Tekton. Nesta etapa, também são coletados dados de conformidade sobre as revisões de peer. O pipeline usa pipelinectl para buscar repositórios com solicitações pull que foram mesclados desde a última construção. O pipeline também verifica o status de revisão do PR, salva-o como um artefato e cria evidências com base no resultado.

O script final é um avaliador, que marca o status do pipeline como verde ou vermelho, com base nos status das evidências. Se houver alguma falha, a execução da integração contínua será marcada em vermelho.