Criação de um pipeline com a configuração do Inferred DevSecOps

Pontos de código

Os pontos de código estão relacionados a uma linguagem de código-fonte compatível, incluindo:

• Node.js (com npm, Yarn ou Gradle)
• Java (com Maven ou Gradle)
• Golang
• Python
• Dockerfile
• Linguagem de configuração do Terraform

Os pontos " code lidam com os seguintes processos:

• building: Define as ferramentas que executam a compilação do código-fonte fornecido.
• unit-testing: Localiza as ferramentas que executam o teste de unidade do resultado da compilação.

Pontos de implantação

Os pontos " deployment localizam um veículo de implantação, incluindo recursos e ferramentas de implantação. os pontos deployment têm um processo de implantação que lista as ferramentas de implantação. Os veículos de implantação atualmente suportados são:

• Definições de recursos Kubernetes como ' Pod, ' ReplicaSet, ' ReplicationController, ' Deployment, ' Daemonset, ' StatefulSet, ' Job, ' Cronjob, ' NetworkPolicy, ' Ingress, ' Service, ' Route- kubectl como ferramenta

• Recurso personalizado do aplicativo Websphere Liberty- kubectl como ferramenta

• recurso personalizado do aplicativo Open Liberty- ' kubectl como ferramenta

• CartaHelm- o leme como ferramenta

• Configuração do Terraform- IBM Cloud Schematics ou Terraform CLI como ferramenta

• Recurso personalizado Wazi DeploymentMethod- Wazi Deploy como ferramenta

• Dockerfile quando IBM Cloud Code Engine tiver sido configurado para implantação- IBM Cloud Code Engine CLI como ferramenta

Pontos de teste de aceitação

Os pontos " acceptance-test localizam um conjunto de testes de aceitação a ser executado. os pontos acceptance-test têm um processo " acceptance-testing que identifica as ferramentas para executar o conjunto de testes de aceitação.

Pontos de varredura dinâmica

Os pontos " dynamic-scan identificam locais para uma varredura dinâmica. Os pontos de varredura dinâmica têm um processo ' scanning para listar as ferramentas de varredura invocadas durante a varredura dinâmica.

A varredura do OWASP ZAP é a única ferramenta compatível para iniciar um acionador de subwebhook.

Pontos de liberação

Os pontos " release localizam o processo de liberação. Os pontos de liberação têm um processo " releasing que lista as ferramentas a serem executadas durante o estágio de liberação. Atualmente, as ferramentas compatíveis com o processo de liberação são:

• liberação semântica
• maven com a fase ' maven deploy.

Configuração da ramificação de injeção

Você pode configurar o nome da ramificação para injetar arquivos inferidos DevSecOps usando a propriedade de pipeline ' inferred-devsecops-branch. O valor padrão é inferred-devsecops.

Use a propriedade de pipeline push-inferred-pipeline-configuration-files (a propriedade push-polyglot-files está obsoleta em favor da propriedade push-inferred-pipeline-configuration-files ) para ativar ou desativar a criação e a atualização da ramificação inferred-devsecops:

Ignorando pontos

Você pode ignorar pontos específicos durante a extração usando expressões regulares. As opções de configuração a seguir estão disponíveis:

• ignore-code-spot-pattern: Ignora os pontos de código que correspondem à expressão regular especificada.
• ignore-deployment-spot-pattern: Ignora os pontos de implantação que correspondem à expressão regular especificada.
• ignore-dynamic-scan-spot-pattern: Ignora os pontos de varredura dinâmica que correspondem à expressão regular especificada.
• ignore-acceptance-test-spot-pattern: Ignora os pontos de teste de aceitação que correspondem à expressão regular especificada.
• ignore-release-spot-pattern: Ignora os pontos de liberação que correspondem à expressão regular especificada.

Configuração Code Engine

Se estiver usando o site IBM Cloud Code Engine para implantação, especifique o projeto Code Engine e configure o processo de compilação com as seguintes propriedades de ambiente de pipeline:

• code-engine-project: Especifica o projeto Code Engine.
• code-engine-build-use-native-docker: (Padrão: ' false) Indica se deve ser usado o Docker CLI em vez do comando ' ibmcloud code-engine buildrun.
• root-as-build-context(Padrão: false ) indica que o contexto de construção da ferramenta de construção relacionada a Dockerfile (como docker ou code-engine ) deve usar a raiz do repositório como contexto de construção e não a pasta que contém o Dockerfile.

Configuração da compilação da imagem do contêiner

• container-image-builder: (Padrão para docker) Para compilações relacionadas ao Dockerfile, especifique a ferramenta a ser usada (docker ou podman) para compilar a imagem do contêiner.
• root-as-build-context: (Padrão: false) indica que o contexto de compilação para ferramentas de Dockerfile compilação relacionadas (como docker, podman ou code-engine) deve usar a raiz do repositório como contexto de compilação e não a pasta que contém o Dockerfile.

Configuração da Golang

Para configurar o processo de extração de pontos para a Golang, defina as seguintes propriedades de ambiente do pipeline:

• go-ignore-main: (Padrão: ' false) Indica se a extração de ponto de código não deve se concentrar no pacote principal e na detecção da função principal para o argumento de origem principal.
• go-output: Especifica o arquivo de saída executável do comando go build.

Configuração Gradle

Para configurar as tarefas do Gradle para instalação, teste de unidade, artefato de compilação e teste de aceitação, use as seguintes propriedades de ambiente de pipeline:

• gradle-setup-tasks: (Padrão: ' assemble) Lista separada por vírgulas de tarefas Gradle para o estágio de configuração.
• gradle-unit-testing-tasks: (Padrão: ' test) Lista separada por vírgula de tarefas Gradle para o estágio de teste de unidade.
• gradle-build-artifact-tasks: (Padrão: ' build) Lista separada por vírgulas de tarefas Gradle para o estágio do artefato de construção.
• gradle-acceptance-testing-tasks: lista separada por vírgulas de tarefas Gradle para o estágio de teste de aceitação.

Configuração do NPM

Você pode configurar o teste de unidade NPM e a detecção de script de teste de aceitação.

• hint-npm-unit-testing-script: (Padrão: ' test) Dicas para detecção de script de teste de unidade NPM.
• hint-npm-acceptance-testing-script: (Padrão: ' acceptance-test) Dicas para detecção de script de teste de aceitação do NPM.

Configuração Python

Para configurar a versão do Python Poetry, use as seguintes propriedades de ambiente do pipeline:

• hint-python-poetry-version: (Padrão: ' 1.8.2) Dicas para a versão Python Poetry.
• discover-python-unittest-from-ancestor(Padrão: false) indica que o diretório ancestral é usado como ponto de partida para a descoberta do python unittest (por exemplo, para descobrir testes de unidade do diretório que contém o requirements.txt na raiz do repositório e não o requirements.txt (se houver) que é o mais próximo dos arquivos python unittest).

Configuração do Terraform

Para configurar o processo de implantação do Terraform, use as seguintes propriedades de ambiente de pipeline:

• terraform-deployment: (Padrão: ' false) Desativa Schematics como veículo de implantação em favor do Terraform e do Cloud Object Storage para armazenamento de estado.

Upload de artefatos

Para configurar o processo de upload de artefatos, use as seguintes propriedades de ambiente do pipeline:

• artifact-upload-to-devsecops-cos: (Padrão: ' false) Permite o upload de artefatos para um bucket Cloud Object Storage usando o upload de artefatos da CLI DevSecOps para artefatos salvos sem imagem.

Injeção de variáveis de ambiente nas etapas de execução do pipeline

O recurso Inferred DevSecOps Pipeline Configuration fornece um utilitário ' export-properties para exportar propriedades do pipeline e do acionador como variáveis de ambiente durante a execução do estágio. Esse utilitário é chamado em cada estágio personalizado:

export-properties "GLOBAL" && export-properties "${STAGE^^}"

Execução e configuração de ferramentas

Algumas ferramentas do recurso Inferred DevSecOps Pipeline Configuration usam propriedades de pipeline e acionador para inferir a configuração complementar.

Ativar a proteção de ramificação por padrão

Os pipelines de PR e CI DevSecOps ativam a proteção de ramificação no repositório de código-fonte por padrão. Essa verificação ocorre durante o estágio de configuração do código.

Desativar a proteção de ramificação

Para desativar a proteção de ramificação, defina a propriedade ' setup-branch-protection como ' false.

Personalização das verificações de status da proteção de filiais

Para personalizar o prefixo das verificações de status de proteção de ramificação, defina a propriedade ' branch-protection-status-check-prefix. O prefixo padrão é " tekton.

Configurar o Poetry para repositórios privados

Ao usar o Poetry (pyproject.toml é identificado como um ponto de código) e uma fonte ou repositório alternativo é definido para buscar dependências, como:

[[tool.poetry.source]]
name = "local"
url = "https://na-public.artifactory.swg-devops.com/artifactory/api/pypi/ip-devops-team-pypi-virtual/simple"
secondary = true

ou quando a Poesia estiver envolvida (ou seja, pyproject.toml contendo uma seção build-system com build-backend igual a poetry.core.masonry.api é um ponto de liberação identificado), talvez seja necessário fornecer credenciais para autenticar os registros privados.

Autenticação com repositórios privados na IBM Cloud

É necessário fornecer credenciais para esse repositório de origem " local. A documentação do Poetry sobre a configuração de credenciais indica que as variáveis de ambiente para fornecer o usuário e a senha http devem ser ' POETRY_HTTP_BASIC_LOCAL_USERNAME e ' POETRY_HTTP_BASIC_LOCAL_PASSWORD.

Use o recurso de injeção de variável de ambiente e adicione as seguintes propriedades de ambiente de pipeline:

• ENV_GLOBAL_POETRY_HTTP_BASIC_LOCAL_USERNAME (texto) com o valor apropriado
• ENV_GLOBAL_POETRY_HTTP_BASIC_LOCAL_PASSWORD (secured) com o valor secured apropriado

Configurar o Maven para arquivos de configurações personalizadas no IBM Cloud

Se o seu projeto Maven definir um arquivo de configurações específico com um nome de arquivo personalizado, como " ci-settings.xml, defina uma propriedade de ambiente de pipeline maven-user-settings-file-path com o valor definido como " ci_settings.xml nas propriedades de nível de PR, pipeline de CI ou acionador.

Além disso, se houver algum ' env.<VARIABLE> a ser resolvido, como:

    <server>
      <username>${env.MAVEN_USERNAME}</username>
      <password>${env.MAVEN_PASSWORD}</password>
      <id>central</id>
    </server>

Use o recurso de injeção de variável de ambiente para fornecer essas variáveis, adicionando duas propriedades de pipeline (no pipeline PR e CI):

• ENV_GLOBAL_MAVEN_USERNAME (texto) com o valor a ser usado para o nome de usuário do maven
• ENV_GLOBAL_MAVEN_PASSWORD (seguro) com o valor a ser usado para a senha do maven

Habilitar links estáticos para compilações em Go

Por padrão, o ' go build produz um binário vinculado dinamicamente. Para usá-lo em um contêiner Docker, ative a vinculação estática definindo ' CGO_ENABLED=0 durante a compilação.

Configurar a variável de ambiente para a compilação em Go

Para ativar a vinculação estática, use o recurso de injeção de variável de ambiente para adicionar a seguinte propriedade de ambiente de pipeline no pipeline de CI:

• ENV_SETUP_CGO_ENABLED com o valor definido como ' 0