配置 GitHub 仓库

访问规则集设置

1. 浏览至 GitHub上存储库的 设置 选项卡。
2. 在左侧边栏“规则”下单击“规则集”进入“规则集设置”页面。
3. 点击绿色按钮 “New Branch RuleSet
4. 添加定义规则集所需的信息，然后单击创建。

在规则集中添加保护规则

单击绿色按钮“新建分支规则集”后，会出现一个填写规则集详细信息的页面。

1. 为 RuleSet 命名，并从启用状态下拉菜单中选择启用/禁用/评估规则集

2. 点击添加目标，配置目标分支。 选择“包括”、“排除”、“默认”或“全部”来配置分支目标条件。 GitHub 支持 fnmatch 语法，用于基于模式的目标定位。

3. 点击添加旁路，在旁路列表下配置旁路权限。 您可以添加可以绕过检查的所需角色。 您可以将列表留空（这相当于在传统的分支保护设置中启用 " 不允许绕过这些设置" ）。

4. 启用分支规则下的“**合并前要求提交拉取请求 **”选项。

5. 启用 需要核准 选项，并将 合并前需要的核准数 设置为至少 1 或团队中需要的核准数。

6. 启用选项 推送新落实时取消旧拉取请求核准 以查看所有最新更改，然后才能将其合并到另一个分支上。

限制

目前，旁路行为者列表只能从存储库级规则集中检索。 如果在组织层面定义了规则集，则根据标准权限，无法从这些规则集中检索这些信息。

要从组织级规则集检索旁路行动者列表，请查看所需的访问权限，并授予运行管道的功能 ID/GitHub 账户以高级权限 （组织的所有者访问权限 ）。 这是由于 GitHub's 权限模型，它限制了对组织级别规则集的可见性， 在没有适当授权的情况下绕过参与者元数据，以防止敏感信息的泄露。

更多信息，请参阅 GitHub 关于 组织规则集和旁路行为体的官方文档。

为规则集配置状态检查

1. 启用 Require status checks to pass before merging 选项。

为了能够将它们设置为必需的状态检查，首先需要事先触发 PR/CI 管道 (UI 上仅列出现有状态检查)。

在启用 Require status checks to pass before merging 选项之后，您需要配置在合并拉取请求之前必须通过的特定状态检查。

2. 在可用状态检查列表中，启用以下选项以进行检查:

• tekton/code-branch-protection
• tekton/code-cis-check
• tekton/code-detect-secrets
• tekton/code-unit-tests
• tekton/code-vulnerability-scan

这些检查是管道中默认的预期拉取请求状态检查。

添加所有默认规则集（完整配置）

这条 CURL 命令设置了默认的所需状态检查和拉取请求审查设置。

curl -H "Authorization: Bearer $(cat ${APP_TOKEN_PATH})" "${APP_API_URL}/repos/${APP_REPO_OWNER}/${APP_REPO_NAME}/rulesets" \
    -XPUT -d '{
  "name": "Branch Protection Equivalent Ruleset",
  "target": "branch",
  "enforcement": "active",
  "bypass_actors": [], // as the list is empty no one can bypass which is equivalent to enforce_admins: true with no restriction
  "conditions": {
    "ref_name": {
      "include": ["refs/heads/master"],
      "exclude": []
    }
  },
  "rules": [
    {
      "type": "required_status_checks",
      "parameters": {
        "strict_required_status_checks_policy": true,
        "required_status_checks": [
          {
            "context": "tekton/code-unit-tests"
          },
          {
            "context": "tekton/code-branch-protection"
          },
          {
            "context": "tekton/code-cis-check"
          },
          {
            "context": "tekton/code-vulnerability-scan"
          },
          {
            "context": "tekton/code-detect-secrets"
          }
        ]
      }
    },
    {
      "type": "pull_request",
      "parameters": {
        "required_approving_review_count": 1,
        "dismiss_stale_reviews_on_push": true,
        "require_code_owner_review": false,
        "require_last_push_approval": false,
        "required_review_thread_resolution": false
      }
    }
  ]
}'

访问分支保护设置

1. 浏览至 GitHub上存储库的 设置 选项卡。
2. 在左侧边栏中，单击 分支 以访问分支设置页面。
3. 向下滚动到 分支保护规则 部分。
4. 找到要配置的分支 (通常为 "main" 分支)。
5. 选择分支名称旁边的 编辑 按钮以修改其保护规则。

添加分支保护规则

如果未设置现有规则，请单击 添加规则 按钮，并在 **Branch name pattern** 字段中输入相应的分支名称。 然后，继续执行以下步骤:

1. 启用 在合并之前需要拉取请求 选项。
2. 启用 需要核准 选项，并将 合并前需要的核准数 设置为至少 1 或团队中需要的核准数。
3. 启用选项 推送新落实时取消旧拉取请求核准 以查看所有最新更改，然后才能将其合并到另一个分支上。

4. 启用“不允许绕过设置 ”选项，以防止具有绕过分支保护权限的管理员和自定义角色绕过所需的分支保护检查。

目前，如果未启用 Do not allow bypassing these settings 检查，日志中会显示警告。 在3月中旬强制检查之前，它不会在分支保护检查中失败。 请在3月中旬之前启用检查，以防止管道故障。

在将拉取请求合并到主分支之前，必须 核准这些请求。 此规则确保变更接受团队成员的复审和审查，促进协作，代码质量和遵守项目标准。

配置状态检查

需要进行状态检查DevSecOps对代码实施一套全面的质量和安全措施。 这将确保代码更改在合并到受保护的分支之前是安全可靠的。 通过要求在合并前通过状态检查，可以防止将损坏或未测试的代码部署到生产环境。

提交拉取请求时，PR/CI 管道会自动触发一系列测试，验证和其他检查，以验证建议的更改。

仅当所有必需的状态检查成功通过时，拉取请求才会被视为有资格合并到受保护的分支中。

通过利用DevSecOps,在将更改纳入项目的受保护分支之前，您可以维护代码质量、遵守编码标准并确保没有漏洞或严重缺陷。

有关配置状态检查的更多信息，请参阅 仅配置状态检查(状态检查配置) 部分以获取参考实现。

1. 启用 Require status checks to pass before merging 选项。

为了能够将它们设置为必需的状态检查，首先需要事先触发 PR/CI 管道 (UI 上仅列出现有状态检查)。

在启用 Require status checks to pass before merging 选项之后，您需要配置在合并拉取请求之前必须通过的特定状态检查。

2. 在可用状态检查列表中，启用以下选项以进行检查:

• tekton/code-branch-protection
• tekton/code-cis-check
• tekton/code-detect-secrets
• tekton/code-unit-tests
• tekton/code-vulnerability-scan

在合并拉取请求之前，必须通过所显示的状态检查。

这些检查是管道中默认的预期拉取请求状态检查。

[{
  "type": "branch-protection",
  "name": "code-review",
  "params": {
    "checks": [
      "tekton/code-branch-protection",
      "tekton/code-unit-tests",
      "tekton/code-cis-check",
      "tekton/code-vulnerability-scan",
      "tekton/code-detect-secrets"
    ]
  }
}]

可选设置

除上述设置外，您还可以选择为分支保护规则配置以下其他设置。 请注意，DevSecOps将不会验证或强制执行这些设置。

• 需要已签名的落实: 此设置要求对所有对受保护分支的落实进行签名，以防止对代码进行恶意更改。

• 需要线性历史记录: 此设置要求所有对受保护分支的落实都具有线性历史记录。 这意味着合并到受保护分支中的任何拉取请求都必须使用壁式合并或同步合并。 严格线性落实历史记录可帮助团队更轻松地逆转更改。

这些附加设置是可选的，可以根据您的特定需求和首选项进行定制。

添加所有分支保护规则 (完成配置)

在替换 $GH_TOKEN，$OWNER，$APP_API_URL $REPO 和 $BRANCH 变量之后，还可以通过以下 curl 命令设置分支保护规则。

curl -u ":$GH_TOKEN" $APP_API_URL/repos/$OWNER/$REPO/branches/$BRANCH/protection -XPUT -d '{"required_pull_request_reviews":{"dismiss_stale_reviews":true},"required_status_checks":{"strict":true,"contexts":["tekton/code-branch-protection","tekton/code-unit-tests","tekton/code-cis-check","tekton/code-vulnerability-scan","tekton/code-detect-secrets"]},"enforce_admins":null,"restrictions":null}'

此 CURL 命令设置必需的状态检查和拉取请求复审设置。

一旦配置了这些设置，任何将拉取请求合并到 $BRANCH 的尝试都将被拒绝，除非至少一个其他用户已批准该拉取请求。

仅配置状态检查 (状态检查配置)

如果只想配置必需的状态检查，那么可以使用以下 CURL 命令作为参考:

curl -H "Authorization: Bearer $(cat ${APP_TOKEN_PATH})" "${APP_API_URL}/repos/${APP_REPO_OWNER}/${APP_REPO_NAME}/branches/master/protection" \
    -XPUT -d '{"required_pull_request_reviews":{"dismiss_stale_reviews":true},"required_status_checks":{"strict":true,"contexts":["tekton/code-branch-protection","tekton/code-unit-tests","tekton/code-cis-check","tekton/code-vulnerability-scan","tekton/code-detect-secrets"]},"enforce_admins":null,"restrictions":null}'

在我们的参考实现中，我们已经为 hello-compliance-app 存储库提供了样本配置，因此您可以将其用作起点，并根据需要进行定制。

请遵循先前的示例，以确保代码质量并遵守存储库的安全措施。 要确保发生此情况，请配置必要的分支保护规则和状态检查。