Install the CI/CD plug-in for GitHub Actions - Security Center

Prérequis

Avant de commencer, assurez-vous de disposer des éléments suivants :

Un dépôt GitHub avec un workflow Actions existant
Un jeton du plug-in CI/CD obtenu depuis Security Center. Consultez la rubrique Obtenir un jeton pour le plug-in CI/CD. Enregistrez ce jeton en tant que secret chiffré GitHub (SAS_TOKEN).
Un AccessKey ID et un AccessKey Secret associés à un utilisateur RAM. Enregistrez ces deux valeurs en tant que secrets chiffrés GitHub (ACCESSKEYID et ACCESSKEYSECRET)

Important

Utilisez l'AccessKey ID et l'AccessKey Secret d'un utilisateur RAM plutôt que les identifiants de votre compte Alibaba Cloud. Les identifiants au niveau du compte accordent des autorisations complètes sur toutes les ressources : conservez-les confidentiels et ne les exposez jamais via des canaux externes.

Ajouter l'étape d'analyse d'image à votre workflow

Connectez-vous à GitHub.
Cliquez sur votre photo de profil dans le coin supérieur droit et sélectionnez Your repositories dans la liste déroulante.
Dans l'onglet Repositories, cliquez sur le dépôt que vous souhaitez configurer.
Accédez à l'onglet Actions.
Dans la section All workflows, repérez le fichier de pipeline cible et cliquez sur l'icône dans la colonne Actor.
Sélectionnez View workflow file.

Dans la section Workflow file for this run, ajoutez l'étape d'analyse en suivant l'exemple ci-dessous :

name: Docker build and scan security issue by sas-image-scanner

on:
  push:
    branches: [ main ]
  pull_request:
    branches: [ main ]

env:
  REPO_TAG: your_docker_image_repo:your_docker_image_tag

jobs:

  build:

    runs-on: ubuntu-latest

    steps:
    - uses: actions/checkout@v2
    - name: Build the Docker image
      run: docker build . --file Dockerfile --tag ${{ env.REPO_TAG }}
    - name: Scan image by sas-image-scanner
      run: >
          docker run --rm -v /var/run/docker.sock:/var/run/docker.sock --network=host
          sas-image-scanner-registry.cn-hangzhou.cr.aliyuncs.com/sas_public/sas-image-scanner:latest
          --accessKeyId=${{ secrets.ACCESSKEYID }} --accessKeySecret=${{ secrets.ACCESSKEYSECRET }}
          --token=${{ secrets.SAS_TOKEN }} --imageId=${{ env.REPO_TAG }}

Le tableau suivant décrit les paramètres.

Paramètre	Obligatoire	Valeur par défaut	Description
`accessKeyId`	Oui	—	AccessKey ID de votre utilisateur RAM
`accessKeySecret`	Oui	—	AccessKey Secret de votre utilisateur RAM
`token`	Oui	—	Jeton du plug-in CI/CD
`imageId`	Oui	—	ID de l'image ou tag du dépôt d'images. Par défaut, les images sont analysées localement. Pour analyser une image distante, définissez cette valeur sur le tag du dépôt d'images et configurez également les paramètres `registryUrl`, `registryUsername` et `registryPwd`.
`domain`	Non	(aucune)	Endpoint de Security Center. Définissez la valeur sur `tds.ap-southeast-1.aliyuncs.com`.
`registryUrl`	Non	(aucune)	URL du dépôt d'images distant. Requis lors de l'analyse d'images distantes.
`registryUsername`	Non	(aucune)	Nom d'utilisateur pour le dépôt d'images distant. Requis lors de l'analyse d'images distantes.
`registryPwd`	Non	(aucune)	Mot de passe pour le dépôt d'images distant. Requis lors de l'analyse d'images distantes.

Une fois la configuration terminée, Security Center analyse les risques liés aux images du projet lors de sa construction.

Étapes suivantes

Consultez les résultats d'analyse dans l'onglet Container de la page Assets de la console Security Center. Pour plus d'informations, consultez la rubrique Afficher les résultats d'analyse des images.