Mengintegrasikan validasi IaC dengan GitHub Actions

Anda dapat menggunakan tindakan Analyze Code Security untuk memvalidasi infrastruktur sebagai kode (IaC) yang merupakan bagian dari alur kerja GitHub Actions Anda. Dengan memvalidasi IaC, Anda dapat menentukan apakah definisi resource Terraform Anda melanggar kebijakan organisasi dan detektor Security Health Analytics yang ada yang diterapkan ke resource Anda. Google Cloud

Untuk mengetahui informasi selengkapnya tentang validasi IaC, lihat Memvalidasi IaC terhadap kebijakan organisasi Anda. Google Cloud

Sebelum memulai

Selesaikan tugas berikut untuk mulai menggunakan validasi IaC dengan GitHub Actions.

Mengaktifkan paket Premium atau paket Enterprise Security Command Center

Pastikan paket Security Command Center Premium atau paket Enterprise diaktifkan di tingkat organisasi.

Mengaktifkan Security Command Center akan mengaktifkan API securityposture.googleapis.com dan securitycentermanagement.googleapis.com.

Membuat akun layanan

Buat akun layanan yang dapat Anda gunakan untuk tindakan Analyze Code Security.

    Pastikan Anda memiliki peran IAM Buat Akun Layanan (roles/iam.serviceAccountCreator) dan peran IAM Admin Project (roles/resourcemanager.projectIamAdmin). Pelajari cara memberikan peran.

  1. Di Google Cloud console, buka halaman Buat akun layanan.

    Buka Buat akun layanan
  2. Pilih project Anda.

  3. Di kolom Nama akun layanan, masukkan nama. Console akan mengisi kolom ID akun layanan berdasarkan nama ini. Google Cloud

    Di kolom Deskripsi akun layanan, masukkan deskripsi. Sebagai contoh, Service account for quickstart.

  4. Klik Buat dan lanjutkan.

  5. Berikan peran Security Posture Shift-Left Validator ke akun layanan.

    Untuk memberikan peran, temukan daftar Pilih peran, lalu pilih Security Posture Shift-Left Validator.

  6. Klik Lanjutkan.

  7. Klik Selesai untuk menyelesaikan pembuatan akun layanan.

Untuk mengetahui informasi selengkapnya tentang izin validasi IaC, lihat IAM untuk aktivasi tingkat organisasi.

Menyiapkan autentikasi

  1. Konfigurasikan Workload Identity Federation dengan penyedia identitas GitHub Anda. Untuk mengetahui petunjuknya, lihat Workload Identity Federation.

  2. Dapatkan URL untuk token ID Workload Identity Federation Anda. Misalnya, https://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/providers/PROVIDER_ID.

    Pertimbangkan hal berikut:

    • PROJECT_NUMBER adalah nomor project untuk Google Cloud project tempat Anda menyiapkan Workload Identity Federation.
    • POOL_ID adalah nama pool.
    • PROVIDER_ID adalah nama penyedia identitas Anda.

  3. Tambahkan tindakan Authenticate to Google Cloud ke alur kerja Anda untuk mengautentikasi tindakan validasi IaC.

Menentukan kebijakan Anda

Tentukan kebijakan organisasi dan detektor Security Health AnalyticsAnda. Untuk menentukan kebijakan ini menggunakan postur keamanan, selesaikan tugas di Membuat dan men-deploy postur.

Membuat file JSON rencana Terraform Anda

  1. Buat kode Terraform Anda. Untuk mengetahui petunjuknya, lihat Membuat kode Terraform Anda.

  2. Di GitHub Actions Anda, lakukan inisialisasi Terraform. Misalnya, jika Anda menggunakan tindakan HashiCorp - Setup Terraform, jalankan perintah berikut:

    - name: Terraform Init
  id: init
  run: terraform init

  3. Buat file rencana Terraform:

    - name: Create Terraform Plan
  id: plan
  run: terraform plan -out=TF_PLAN_FILE

    Ganti TF_PLAN_FILE dengan nama untuk file rencana Terraform. Misalnya, myplan.tfplan.

  4. Konversikan file rencana Anda ke format JSON:

    - name: Convert Terraform Plan to JSON
  id: convert
  run: terraform show -no-color -json TF_PLAN_FILE > TF_PLAN_JSON_FILE

    Ganti TF_PLAN_JSON_FILE dengan nama untuk file rencana Terraform, dalam format JSON. Misalnya, mytfplan.json.

Menambahkan tindakan ke alur kerja GitHub Actions Anda

  1. Di repositori GitHub, telusuri alur kerja Anda.
  2. Buka editor alur kerja.
  3. Di sidebar GitHub Marketplace, telusuri Analyze Code Security.
  4. Di bagian Installation, salin sintaksis.
  5. Tempelkan sintaksis sebagai langkah baru ke dalam alur kerja Anda.

  6. Ganti nilai berikut:

    • workload_identity_provider dengan link ke URL untuk token ID Workload Identity Federation Anda.
    • service_account dengan alamat email akun layanan yang Anda buat untuk tindakan tersebut.
    • organization_id dengan ID organisasi Anda. Google Cloud
    • scan_file_ref dengan jalur ke file rencana Terraform Anda, dalam format JSON.
    • failure_criteria dengan kriteria nilai minimum kegagalan yang menentukan kapan tindakan gagal. Kriteria nilai minimum didasarkan pada jumlah masalah tingkat keseriusan kritis, tinggi, sedang, dan rendah yang ditemukan oleh pemindaian validasi IaC. failure_criteria menentukan jumlah masalah dari setiap tingkat keseriusan yang diizinkan dan cara masalah tersebut diagregasi (baik AND atau OR). Misalnya, jika Anda ingin tindakan gagal jika menemukan satu masalah kritis atau satu masalah tingkat keseriusan tinggi, tetapkan failure_criteria ke Critical:1,High:1,Operator:OR. Nilai defaultnya adalah Critical:1,High:1,Medium:1,Low:1,Operator:OR, yang berarti bahwa jika pemindaian validasi IaC menemukan masalah apa pun, tindakan tersebut harus gagal.

Sekarang Anda dapat menjalankan alur kerja untuk memvalidasi file rencana Terraform Anda. Untuk menjalankan alur kerja secara manual, lihat Menjalankan alur kerja secara manual.

Melihat laporan pelanggaran IaC

  1. Di repositori GitHub Anda, klik Actions , lalu pilih alur kerja Anda.

  2. Klik run terbaru untuk alur kerja Anda.

    Di bagian Artifacts, laporan pelanggaran (ias-scan-sarif.json) tersedia dalam file zip. Laporan tersebut mencakup kolom berikut:

    • Kolom rules yang menjelaskan kebijakan mana yang dilanggar oleh rencana Terraform. Setiap aturan menyertakan ruleID yang dapat Anda cocokkan dengan hasil yang disertakan dalam laporan.
    • Kolom results yang menjelaskan modifikasi aset yang diusulkan yang melanggar aturan tertentu.

  3. Selesaikan pelanggaran apa pun dalam kode Terraform Anda sebelum menerapkannya.

Langkah berikutnya