版本切換

collect-evidence shell 腳本支援兩個實作版本，可以使用 collect-evidence-version 環境屬性來切換：

回覆值

collect-evidence 會在 STDOUT ( success、failure 或 pending 其中之一) 上輸出已評估證明狀態字串。 此評估值取決於已處理的結果附件、找到的發生事件問題，以及這些問題的可能補救，例如具有到期日集或豁免標籤。 如需相關資訊，請參閱 發生事件問題。

# example on how to read the output into a variable in bash
read -r status < <(collect-evidence "${evidence_params[@]}")
echo $status # success

collect-evidence-version=v2

直接使用 CLI 指令

cocoa locker evidence collect \
  --tool-type "sonarqube" \
  --evidence-type "com.ibm.static_scan" \
  --assets "app-repo:repo" \
  --status "success" \
  --attachment ./sonarqube-result.json \
  --pipeline-run-id "${PIPELINE_RUN_ID}" \
  --pipeline-namespace "ci" \
  --incident-org "my-org" \
  --incident-repo "compliance-issues"

cocoa locker evidence collect \
  --tool-type "detect-secrets" \
  --evidence-type "com.ibm.detect_secrets" \
  --assets "app-repo:repo" \
  --status "success" \
  --pipeline-run-id "${PIPELINE_RUN_ID}" \
  --pipeline-namespace "ci" \
  --incident-org "my-org" \
  --incident-repo "compliance-issues"

cocoa locker evidence collect \
  --tool-type "va" \
  --evidence-type "com.ibm.cloud.image_vulnerability_scan" \
  --assets "image-0:artifact" \
  --status "success" \
  --pipeline-run-id "${PIPELINE_RUN_ID}" \
  --attachment image-0_va-report.json \
  --pipeline-namespace "ci" \
  --incident-org "my-org" \
  --incident-repo "compliance-issues"

如需完整的 CLI 指令參考及所有可用參數，請參閱 cocoa locker evidence collect。

範例用法

collect-evidence \
  --tool-type "sonarqube" \
  --evidence-type "com.ibm.static_scan" \
  --asset-type "repo" \
  --asset-key "app-repo" \
  --status "success" \
  --attachment ./sonarqube-result-1.json \
  --attachment ./sonarqube-result-2.json \
  --meta environment=staging

collect-evidence \
  --tool-type "ciso-code-signing" \
  --evidence-type "com.ibm.cloud.image_signing" \
  --asset-type "artifact" \
  --asset-key "signed-image" \
  --status "success" \
  --attachment ./signature.json \   # The signature details in JSON format
  --attachment "./${artifact}.fingerprint" \ #  The fingerprint is a hash value generated from the artifact, ensuring integrity and authenticity.
  --meta environment=production

您可以直接使用 cocoa locker evidence collect 指令：

cocoa locker evidence collect \
  --tool-type "sonarqube" \
  --evidence-type "com.ibm.static_scan" \
  --assets "app-repo:repo" \
  --status "success" \
  --attachment ./sonarqube-result.json \
  --pipeline-run-id "${PIPELINE_RUN_ID}" \
  --pipeline-namespace "ci" \
  --incident-org "my-org" \
  --incident-repo "compliance-issues"

使用 save_repo 指令新增的 repo 資產

請檢查 指令參考手冊，以取得確切的用法資訊。

必要的欄位：

• url 此儲存庫 URL。
• commit 確定 SHA。

使用 save_artifact 指令新增的 artifact 資產

請檢查 指令參考手冊，以取得確切的用法資訊。

必要的欄位：

• name 構件名稱。 例如，對於圖像，包括註冊表、命名空間和圖像（例如：us.icr.io/team-images/service ）。
• digest 工件摘要（例如： sha256:a2292ed2b82c7a51d7d180c3187dbb0f7cc9ab385a68484c4f117e994acd6192 ）。

非影像的 save_artifact 中需要變更: 收集證明現在支援所有資產類型。 用於收集證明以使用任何資產類型 save_artifact 應明確地將資產儲存為 type ，例如：zip save_artifact artifact-1 type=zip ...。 在收集證據腳本中， asset-type 應該是工件，並且類型是從工件中查詢的。 為了讓此程序運作，已修改可可櫃資產新增，以新增任何類型的資產。 儲存之後，可以如下呼叫收集證明 Script:

collect-evidence --tool-type toolType --evidence-type artifact --asset-key artifact-1 ...

請參閱我們的範例應用程式，以 deployment 獲取類型 的範例實作。https://us-south.git.cloud.ibm.com/open-toolchain/hello-compliance-app

利用這些變更，collect-evidence Script 會處理所有類型的構件，包括影像及非影像構件。