أمان Bitbucket: ماسح أمان البنية التحتية كشيفرة

يقوم بفحص ملفات إعدادات البنية التحتية كشيفرة (Infrastructure as Code) لديك للتأكد من ممارسات الأمان الجيدة. يُنشئ تقرير Code Insights للأمان إذا تم العثور على مشكلة.

يستفيد هذا الـ Pipe المدعوم من Bitbucket Cloud من أداة الفحص الرائدة في المجال KICS لتوفير إمكانات فحص IaC لعملاء Bitbucket. راجع قسم التفاصيل والأمثلة للحصول على مزيد من المعلومات.

تعريف YAML

أضف المقتطف التالي إلى قسم script في ملف bitbucket-pipelines.yml الخاص بك:

- pipe: atlassian/bitbucket-iac-scan:0.5.2
  variables:
    FILES_TO_SCAN_PATH: '<string>'
    # SCAN_EXTRA_ARGS: '<array>' # Optional.
    # CONFIG_PATH: '<string>' # Optional.
    # CREATE_REPORT: "<boolean>" # Optional. Default: `true`
    # FAIL_ON: "<integer>" # Optional.
    # DEBUG: "<boolean>" # Optional. Default: `false`

المتغيرات

المتغير	الاستخدام
FILES_TO_SCAN_PATH (*)	الملفات أو المجلدات المراد فحصها مفصولة بـ ,. مثال: "./path_to_dir,path_to_file.txt".
SCAN_EXTRA_ARGS	خيارات إضافية لتمريرها إلى أوامر الفحص الخاصة بـ KICS. إذا تم تمرير الوسيط -p، فسيقوم بتوسيع الملفات أو المجلدات المقدمة في المتغير FILES_TO_SCAN_PATH. إذا تم تمرير الوسيط --config، فسيتم تجاهله لصالح المتغير CONFIG_PATH.
CONFIG_PATH	المسار إلى ملف تهيئة KICS. بديل للمتغير SCAN_EXTRA_ARGS. إذا تم توفير الكلمة المفتاحية path داخل ملف التهيئة، فسيتم تجاهلها لصالح المتغير FILES_TO_SCAN_PATH.
CREATE_REPORT	يتحكم فيما إذا كانت الـ pipe ستنشئ تقارير Bitbucket CodeInsights باستخدام نتائج تنفيذ KICS. الافتراضي: true.
FAIL_ON	قيمة العتبة لـ [رمز حالة النتيجة][result status code] الخاص بماسح KICS التي عندها يجب أن تُفعّل الـ pipe حالة فشل.
DEBUG	تفعيل معلومات تصحيح إضافية. الافتراضي: false.

(*) = متغير مطلوب.

خيارات إضافية

إذا لزم الأمر، يمكن للمستخدمين تحسين عمليات الفحص الخاصة بهم من خلال دمج خيارات من أمر الفحص باستخدام المتغير SCAN_EXTRA_ARGS.

بالإضافة إلى ذلك، هناك خيار للمستخدمين لإنشاء وتوفير ملف تهيئة KICS مخصص، والذي يتم تطبيقه في bitbucket-iac-scan pipe عبر المتغير CONFIG_PATH. يعمل ملف التهيئة هذا كبديل لاستخدام SCAN_EXTRA_ARGS. عند إنشاء تهيئة KICS مخصصة، يجب تخزينها داخل مستودع المستخدم. هذا هو المكان الذي سيتم فيه تشغيل الـ pipeline مع bitbucket-iac-scan pipe.

إذا تم توفير كل من المتغيرين SCAN_EXTRA_ARGS و CONFIG_PATH بوسائط مكررة، فستكون للوسائط من المتغير SCAN_EXTRA_ARGS الأولوية الأعلى.

أمثلة

أمثلة أساسية:

script:
  - pipe: atlassian/bitbucket-iac-scan:0.5.2
    variables:
      FILES_TO_SCAN_PATH: ./my_files_to_scan_dir

افحص المصادر ويجب أن تفشل الأنبوب إذا كان [رمز حالة النتيجة][result status code] الخاص بماسح KICS أكبر من أو يساوي قيمة العتبة المقدمة.

script:
  - pipe: atlassian/bitbucket-iac-scan:0.5.2
    variables:
      FILES_TO_SCAN_PATH: ./my_files_to_scan_dir
      FAIL_ON: 40

أمثلة متقدمة:

مثال مع إعدادات kics التي يمكن استخدامها في الأنبوب:

kics-config.json. سيتم تجاهل المفتاح path

{
  "path": "assets/iac_samples",
  "verbose": true,
  "log-file": true,
  "type": "Dockerfile,Kubernetes",
  "queries-path": "assets/queries",
  "exclude-paths": [
     "foo/",
     "bar/"
  ],
  "output-path": "results"
}

script:
  - pipe: atlassian/bitbucket-iac-scan:0.5.2
    variables:
      FILES_TO_SCAN_PATH: ./my_files_to_scan_dir
      CONFIG_PATH: kics-config.json

مثال مع خيارات الفحص:

script:
  - pipe: atlassian/bitbucket-iac-scan:0.5.2
    variables:
      FILES_TO_SCAN_PATH: ./my_files_to_scan_dir
      SCAN_EXTRA_ARGS:
        - "--disable-secrets"
        - "--type=Dockerfile"

لا تُنشئ تقرير CodeInsights:

script:
  - pipe: atlassian/bitbucket-iac-scan:0.5.2
    variables:
      FILES_TO_SCAN_PATH: ./my_files_to_scan_dir
      CREATE_REPORT: 'false'

الدعم

إذا كنت ترغب في الحصول على مساعدة بشأن هذا الـ pipe، أو واجهت مشكلة أو لديك طلب ميزة، أخبرنا على Community.

إذا كنت تبلّغ عن مشكلة، فيرجى تضمين:

• إصدار الـ pipe
• السجلات ورسائل الخطأ ذات الصلة
• خطوات إعادة إنتاج المشكلة

الترخيص

حقوق النشر (c) 2024 Atlassian وآخرون. مرخّص بموجب Apache 2.0، راجع ملف LICENSE.txt.