2장. 소프트웨어 공급망 보안 요소를 보려면 웹 콘솔에서 OpenShift Pipelines 설정

프로시저

1. 개발자 또는 관리자 관점에서 취약점을 시각적으로 표시하려는 관련 프로젝트로 전환합니다.

2. 기존 취약점 검사 작업을 업데이트하여 출력을 .json 파일에 저장한 다음 다음 형식으로 취약점 요약을 추출합니다.

   # The format to extract vulnerability summary (adjust the jq command for different JSON structures).
   jq -rce \
       '{vulnerabilities:{
         critical: (.result.summary.CRITICAL),
         high: (.result.summary.IMPORTANT),
         medium: (.result.summary.MODERATE),
         low: (.result.summary.LOW)
         }}' scan_output.json | tee $(results.SCAN_OUTPUT.path)

   참고

   다른 JSON 구조에 대해 jq 명령을 조정해야 할 수도 있습니다.

   1. (선택 사항) 취약점 검사 작업이 없는 경우 다음 형식으로 생성합니다.

      Roxctl을 사용한 취약점 검사 작업의 예

      apiVersion: tekton.dev/v1
      kind: Task
      metadata:
        name: vulnerability-scan  1
        annotations:
          task.output.location: results  2
          task.results.format: application/json
          task.results.key: SCAN_OUTPUT  3
      spec:
        results:
          - description: CVE result format  4
            name: SCAN_OUTPUT
        steps:
          - name: roxctl  5
            image: quay.io/roxctl-tool-image  6
            env:
              - name: ENV_VAR_NAME_1  7
                valueFrom:
                  secretKeyRef:
                    key: secret_key_1
                    name: secret_name_1
            env:
              - name: ENV_VAR_NAME_2
                valueFrom:
                  secretKeyRef:
                    key: secret_key_2
                    name: secret_name_2
            script: | 8
              #!/bin/sh
      
              # Sample shell script
      
              echo "ENV_VAR_NAME_1: " $ENV_VAR_NAME_1
              echo "ENV_VAR_NAME_2: " $ENV_VAR_NAME_2
              jq --version (adjust the jq command for different JSON structures)
              curl -k -L -H "Authorization: Bearer $ENV_VAR_NAME_1" https://$ENV_VAR_NAME_2/api/cli/download/roxctl-linux --output ./roxctl
              chmod +x ./roxctl
              echo "roxctl version"
              ./roxctl version
              echo "image from pipeline: "
      
              # Replace the following line with your dynamic image logic
              DYNAMIC_IMAGE=$(get_dynamic_image_logic_here)
              echo "Dynamic image: $DYNAMIC_IMAGE"
              ./roxctl image scan --insecure-skip-tls-verify -e $ENV_VAR_NAME_2 --image $DYNAMIC_IMAGE --output json  > roxctl_output.json
              more roxctl_output.json
              jq -rce \  9
                '{vulnerabilities:{
                critical: (.result.summary.CRITICAL),
                high: (.result.summary.IMPORTANT),
                medium: (.result.summary.MODERATE),
                low: (.result.summary.LOW)
                  }}' scan_output.json | tee $(results.SCAN_OUTPUT.path)

      1

      작업 이름입니다.

      2

      작업 출력을 저장하는 위치입니다.

      3

      검사 작업 결과의 이름 지정 규칙입니다. 유효한 명명 규칙은 SCAN_OUTPUT 문자열로 끝나야 합니다. 예를 들어 SCAN_OUTPUT, MY_CUSTOM_SCAN_OUTPUT 또는 ACS_SCAN_OUTPUT.

      4

      결과에 대한 설명입니다.

      5

      사용한 취약점 검사 도구의 이름입니다.

      6

      검사 도구가 포함된 실제 이미지의 위치입니다.

      7

      툴별 환경 변수입니다.

      8

      json 출력으로 실행할 쉘 스크립트입니다. 예를 들면 scan_output.json입니다.

      9

      취약점 요약을 추출하는 형식(다른 JSON 구조에 대해 jq 명령 조정).

      참고

      이는 구성의 예입니다. 특정 검사 도구에 따라 값을 수정하여 예상 형식으로 결과를 설정합니다.

3. 적절한 Pipeline을 업데이트하여 다음 형식으로 취약점 사양을 추가합니다.

   ...
   spec:
     results:
       - description: The common vulnerabilities and exposures (CVE) result
         name: SCAN_OUTPUT
         value: $(tasks.vulnerability-scan.results.SCAN_OUTPUT)