collect-证据脚本

版本切换

collect-evidence shell 脚本支持两个实现版本，可通过 collect-evidence-version 环境属性进行切换：

返回值

collect-evidence 在 STDOUT ( success，failure 或 pending 之一) 上输出求值的证据状态字符串。 此评估值取决于已处理的结果附件，发现的突发事件问题以及这些问题的可能补救，例如设置了到期日期或豁免标签。 有关更多信息，请参阅 事件问题。

# example on how to read the output into a variable in bash

read -r status < <(collect-evidence "${evidence_params[@]}")

echo $status # success

collect-evidence-version=v2

直接使用 CLI 命令

cocoa locker evidence collect \
  --tool-type "sonarqube" \
  --evidence-type "com.ibm.static_scan" \
  --assets "app-repo:repo" \
  --status "success" \
  --attachment ./sonarqube-result.json \
  --pipeline-run-id "${PIPELINE_RUN_ID}" \
  --pipeline-namespace "ci" \
  --incident-org "my-org" \
  --incident-repo "compliance-issues"

cocoa locker evidence collect \
  --tool-type "detect-secrets" \
  --evidence-type "com.ibm.detect_secrets" \
  --assets "app-repo:repo" \
  --status "success" \
  --pipeline-run-id "${PIPELINE_RUN_ID}" \
  --pipeline-namespace "ci" \
  --incident-org "my-org" \
  --incident-repo "compliance-issues"

cocoa locker evidence collect \
  --tool-type "va" \
  --evidence-type "com.ibm.cloud.image_vulnerability_scan" \
  --assets "image-0:artifact" \
  --status "success" \
  --pipeline-run-id "${PIPELINE_RUN_ID}" \
  --attachment image-0_va-report.json \
  --pipeline-namespace "ci" \
  --incident-org "my-org" \
  --incident-repo "compliance-issues"

有关完整的 CLI 命令参考和所有可用参数，请参阅 可可锁证据收集。

用法示例

collect-evidence \
  --tool-type "sonarqube" \
  --evidence-type "com.ibm.static_scan" \
  --asset-type "repo" \
  --asset-key "app-repo" \
  --status "success" \
  --attachment ./sonarqube-result-1.json \
  --attachment ./sonarqube-result-2.json \
  --meta environment=staging

collect-evidence \
  --tool-type "ciso-code-signing" \
  --evidence-type "com.ibm.cloud.image_signing" \
  --asset-type "artifact" \
  --asset-key "signed-image" \
  --status "success" \
  --attachment ./signature.json \   # The signature details in JSON format
  --attachment "./${artifact}.fingerprint" \ #  The fingerprint is a hash value generated from the artifact, ensuring integrity and authenticity.
  --meta environment=production

您可以直接使用 cocoa locker evidence collect 命令：

cocoa locker evidence collect \
  --tool-type "sonarqube" \
  --evidence-type "com.ibm.static_scan" \
  --assets "app-repo:repo" \
  --status "success" \
  --attachment ./sonarqube-result.json \
  --pipeline-run-id "${PIPELINE_RUN_ID}" \
  --pipeline-namespace "ci" \
  --incident-org "my-org" \
  --incident-repo "compliance-issues"

使用 save_repo 命令添加了 repo 个资产

检查 命令参考 以获取准确的用法信息。

必填字段：

• url 资源库 URL。
• commit 落实 SHA。

使用 save_artifact 命令添加了 artifact 个资产

检查 命令参考 以获取准确的用法信息。

必填字段：

• name 工件名称。 例如，图像包括注册表、命名空间和图像（例如：us.icr.io/team-images/service）。
• digest 工件摘要（例如： sha256:a2292ed2b82c7a51d7d180c3187dbb0f7cc9ab385a68484c4f117e994acd6192）。

需要对非图像的save_工件进行更改: 收集证据现在支持所有资产类型。 要收集证据以处理任何资产类型 save_artifact 应使用 type 明确保存资产，例如，压缩文件 save_artifact artifact-1 type=zip .... 在收集证据脚本中， asset-type 应为人工制品，而类型则从人工制品中查询。 为了使此过程正常工作，可可储物柜资产添加已修改为添加任何类型的资产。 保存后，可按如下所示调用收集证据脚本:

collect-evidence --tool-type toolType --evidence-type artifact --asset-key artifact-1 ...

请参考我们的示例应用程序，获取 deployment 该类型的示例实现。https://us-south.git.cloud.ibm.com/open-toolchain/hello-compliance-app

通过这些更改，收集证据脚本将处理所有类型的工件，包括图像和非图像工件。