Intégrer la validation IaC aux actions GitHub

Niveaux de service Standard (ancienne version), Premium et Enterprise (nécessitent une activation au niveau de l'organisation)

Vous pouvez utiliser l'action Analyze Code Security pour valider l'IaC (Infrastructure as code) qui fait partie de votre workflow GitHub Actions. La validation IaC vous permet de déterminer si vos définitions de ressources Terraform enfreignent les règles d'administration et les détecteurs Security Health Analytics existants appliqués à vos ressources Google Cloud .

Pour en savoir plus sur la validation IaC, consultez Valider votre IaC vis-à-vis de vos règles d'administration Google Cloud .

Avant de commencer

Effectuez ces tâches pour débuter la validation de l'IaC avec GitHub Actions.

Activer le niveau Security Command Center Premium ou Enterprise

Vérifiez que le niveau Security Command Center Premium ou Enterprise est activé au niveau de l'organisation.

L'activation de Security Command Center permet d'utiliser les API securityposture.googleapis.com et securitycentermanagement.googleapis.com.

Créer un compte de service

Créez un compte de service que vous pourrez utiliser pour l'action Analyze Code Security.

Assurez-vous de disposer du rôle IAM Créateur de comptes de service (roles/iam.serviceAccountCreator) et du rôle Administrateur IAM du projet (roles/resourcemanager.projectIamAdmin). Découvrez comment attribuer des rôles.

1. Dans la console Google Cloud , accédez à la page Créer un compte de service.

   Accéder à la page "Créer un compte de service"
2. Sélectionnez votre projet.

3. Dans le champ Nom du compte de service, saisissez un nom. La console Google Cloud remplit le champ ID du compte de service en fonction de ce nom.

   Dans le champ Description du compte de service, saisissez une description. Exemple : Service account for quickstart.

4. Cliquez sur Créer et continuer.

5. Attribuez le rôle Valideur de stratégie de sécurité en amont au compte de service.

   Pour accorder le rôle, trouvez la liste Sélectionner un rôle, puis sélectionnez Validateur de la posture de sécurité Shift-Left.

   Remarque : Le champ Rôle détermine les ressources auxquelles le compte de service peut accéder dans votre projet. Vous pouvez révoquer ces rôles ou attribuer des rôles supplémentaires ultérieurement.
6. Cliquez sur Continuer.

7. Cliquez sur OK pour terminer la création du compte de service.

Pour en savoir plus sur les autorisations de validation IaC, consultez IAM pour les activations au niveau de l'organisation.

Configurer l'authentification

1. Configurez la fédération d'identité de charge de travail avec votre fournisseur d'identité GitHub. Pour savoir comment procéder, consultez Fédération d'identité de charge de travail.

2. Obtenez l'URL de votre jeton d'identité de fédération d'identité de charge de travail. Par exemple, https://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/PROVIDER_ID.

   Tenez compte des points suivants :

   • PROJECT_NUMBER est le numéro du projetGoogle Cloud dans lequel vous avez configuré la fédération d'identité de charge de travail.
   • POOL_ID est le nom du pool.
   • PROVIDER_ID est le nom de votre fournisseur d'identité.

3. Ajoutez l'action "S'authentifier auprès de Google Cloud" à votre workflow pour authentifier l'action de validation IaC.

Définir vos règles

Définissez vos règles d'administration et vos détecteurs Security Health Analytics. Pour définir ces règles à l'aide d'une stratégie de sécurité, effectuez les tâches décrites dans Créer et déployer une stratégie.

Créer votre fichier JSON de plan Terraform

1. Créez votre code Terraform. Pour obtenir des instructions, consultez Créer votre code Terraform.

2. Dans vos actions GitHub, initialisez Terraform. Par exemple, si vous utilisez l'action HashiCorp - Setup Terraform, exécutez la commande suivante :

   - name: Terraform Init
     id: init
     run: terraform init
   

3. Créez un fichier de plan Terraform :

   - name: Create Terraform Plan
     id: plan
     run: terraform plan -out=TF_PLAN_FILE
   

   Remplacez TF_PLAN_FILE par le nom du fichier de plan Terraform. Par exemple, myplan.tfplan.

4. Convertissez votre fichier de plan au format JSON :

   - name: Convert Terraform Plan to JSON
     id: convert
     run: terraform show -no-color -json TF_PLAN_FILE > TF_PLAN_JSON_FILE
   

   Remplacez TF_PLAN_JSON_FILE par le nom du fichier de plan Terraform au format JSON. Exemple :mytfplan.json

Ajouter l'action à votre workflow GitHub Actions

1. Dans le dépôt GitHub, accédez à votre workflow.
2. Ouvrez l'éditeur de workflow.
3. Dans la barre latérale GitHub Marketplace, recherchez Analyze Code Security.
4. Dans la section Installation, copiez la syntaxe.
5. Collez la syntaxe en tant que nouvelle étape dans votre workflow.

6. Remplacez les valeurs suivantes :

   • workload_identity_provider par le lien vers l'URL de votre jeton d'identité de charge de travail.
   • service_account par l'adresse e-mail du compte de service que vous avez créé pour l'action.
   • organization_id par l'ID de votre organisation Google Cloud .
   • scan_file_ref par le chemin d'accès à votre fichier de plan Terraform, au format JSON.
   • failure_criteria avec les critères de seuil d'échec qui déterminent quand l'action échoue. Les critères de seuil sont basés sur le nombre de problèmes de gravité critique, élevée, moyenne et faible rencontrés lors de l'analyse de validation IaC. failure_criteria spécifie le nombre de problèmes autorisés pour chaque niveau de gravité et la façon dont les problèmes sont agrégés (AND ou OR). Par exemple, si vous souhaitez que l'action échoue si elle rencontre un problème critique ou un problème de gravité élevée, définissez failure_criteria sur Critical:1,High:1,Operator:OR. La valeur par défaut est Critical:1,High:1,Medium:1,Low:1,Operator:OR, ce qui signifie que si l'analyse de validation IaC rencontre un problème, l'action doit échouer.

Vous pouvez maintenant exécuter le workflow pour valider votre fichier de plan Terraform. Pour exécuter le workflow manuellement, consultez Exécuter un workflow manuellement.

Afficher le rapport sur les cas de non-respect de l'IaC

1. Dans votre dépôt GitHub, cliquez sur Actions, puis sélectionnez votre workflow.

2. Cliquez sur l'exécution la plus récente de votre workflow.

   Dans la section Artefacts, le rapport sur les cas de non-respect (ias-scan-sarif.json) est disponible dans un fichier ZIP. Le rapport inclut les champs suivants :

   • Un champ rules qui décrit les règles enfreintes par le plan Terraform. Chaque règle inclut un ruleID que vous pouvez faire correspondre aux résultats inclus dans le rapport.
   • Champ results qui décrit les modifications proposées de l'élément qui enfreignent une règle spécifique.

3. Résolvez les cas de non-respect des règles dans votre code Terraform avant de l'appliquer.

Étapes suivantes

• Consultez le code source de l'action analyze-code-security-scc sur GitHub.