階段和作業

如需如何使用 .pipeline-config.yaml 檔案來自訂階段的相關資訊，請參閱 自訂 Script。 e) 及 管線參數 清單。

用於配置 Terraform 環境定義和變數的參數

對於定義基礎架構即程式碼來源的 Terraform 定義，可以使用表 1 中說明的參數來定義與 Terraform 和 Terraform 相關掃描及檢查相關的環境定義和變數。

相同的參數適用於 IaC CD 部署程序中使用的 Script。 由於 CD 處理程序可以處理多個庫存項目，您可以設定庫存項目的參數範圍。 如果要指定範圍 (庫存項目) 的 Terraform 環境定義和變數，請在內容前面加上庫存項目名稱，例如: <inventory_entry>_。 此字首適用於環境項目 tf-dir、TF_VAR_<XXXX>、tfvars-repository、tfvars-branch 及 tfvars-files。

範例：

hello-iac-sample_TF_VAR_resource_group : Default

在靜態程式碼掃描中進行掃描和檢查

靜態程式碼掃描階段會在指定的 IaC 儲存庫上執行一些靜態程式碼分析器工具。 系統會掃描 pipelinectl save_repo 指令所提供的儲存庫及預設應用程式儲存庫。

您可以使用定義給 靜態程式碼掃描 的任何方法，這些方法可針對應用程式相關的連續整合管線進行配置。

IaC 連續整合管線定義使用表格 2 中的 opt-in-* 參數設為 1 所啟用的其他工具。

掃描並移入相符性檢查

針對應用程式相關連續整合管線定義的 相符性檢查 也會針對 IaC 連續整合管線執行。

IaC CI 管線會執行一些使用 opt-in- 特性啟用的其他檢查。

IaC CI 管線會使用設為 1 的 opt-in- 參數來定義更多已啟用的工具。

自2025年12月15日起，IBM Cloud Security and Compliance Center 將停止支援。 任何現有的服務實例均無法運作。

這些 Script 會在管線所知道的所有儲存庫上執行。 若要將儲存庫新增至這些掃描，請使用設定階段中提供的 pipelinectl 介面。 如需相關資訊，請參閱 pipelinectl。

如需使用者 Script 階段預期輸出的相關資訊，請參閱 自訂 Script。

{
    "scc_rules": [
        {
            "scc_rule_id": "rule-8cbd597c-7471-42bd-9c88-36b2696456e9"
        },
        {
            "scc_rule_id": "rule-c97259ee-336d-4c5f-b436-1868107a9558"
        }
    ]
}

建置構件

在建置構件階段中，您可以建置自己的構件。 對於 IaC CI 管線，預設建置特性會建立包含 Terraform 配置的 Tar 檔。

可以使用表 5 中的特定參數來配置預設建置特性。

如需如何在自訂 Script 階段中存取參數及密碼的相關資訊，請參閱 自訂 Script。

構件符號

簽署構件階段提供使用 GPG 金鑰為一或多個構件建立分離的簽章檔案的預設行為。

若要使用不同的簽署程序，請使用專案中的 .pipeline-config.yaml 配置來自訂此階段。

部署至開發

部署階段會將配置構件部署至開發環境。 您可以從 管線使用者介面中的變數 及 管線觸發 Webhook 有效負載，提供此階段的變數及認證。

作為共用基本映像檔的一部分提供的 Script 可以協助使用 Schematics 或 Terraform CLI 來執行部署。 表 8 和表 9 說明用於配置部署動作之 Script 的參數。

hello-iac-sample_schematics-workspace-name : workspace-for-deployment-of-hello-iac-sample

hello-iac-sample_tf-backend-s3-bucket : bucket-to-store-tfstate-of-hello-iac-sample

發貨至庫存

使用 release to Inventory 使用者 Script 階段，以使用 cocoa inventory add CLI 指令將構件新增至庫存。 如需 cocoa inventory add 的相關資訊，請參閱 cocoa inventory add。

您可以使用 pipelinectl 介面，利用 list_repos、load_repo、list_artifacts 和 load_artifact 指令來存取您的儲存庫和構件。 如需相關資訊，請參閱 pipelinectl。

在建置上收集法規遵循資料

當管線順利執行時，您可以收集建置的相關資訊。

所有檢查、掃描、測試和構件簽署都會收集證明，並放在證明櫃中。 管線日誌檔也會連同管線資料本身一起儲存至包含 Tekton 定義的鎖定器。 在此步驟中也會收集同層級檢閱的相符性資料。 管線會使用 pipelinectl 來搜尋具有自前次建置以來已合併之取回要求的儲存庫。 管線也會檢查 PR 檢閱狀態，將它儲存為構件，並根據結果建立證明。

最終 Script 是根據證明狀態將管道狀態標示為綠色或紅色的評估器。 如果有任何失敗，則持續整合執行會標示為紅色。