Mengintegrasikan validasi IaC dengan Jenkins

Anda dapat menggunakan plugin Google Analyze Code Security untuk Jenkins guna memvalidasi infrastructure as code (IaC) yang merupakan bagian dari project Jenkins Anda. Dengan memvalidasi IaC, Anda dapat menentukan apakah definisi resource Terraform Anda melanggar kebijakan organisasi dan detektor Security Health Analytics yang ada dan diterapkan ke resource Anda. Google Cloud

Untuk mengetahui informasi selengkapnya tentang validasi IaC, lihat Memvalidasi IaC terhadap kebijakan organisasi Anda. Google Cloud

Validasi IaC hanya berfungsi dengan project freestyle Jenkins.

Sebelum memulai

Selesaikan tugas berikut untuk mulai menggunakan validasi IaC dengan Jenkins.

Mengaktifkan paket Premium Security Command Center atau paket Enterprise

Pastikan bahwa paket Premium Security Command Center atau paket Enterprise diaktifkan di tingkat organisasi.

Mengaktifkan Security Command Center akan mengaktifkan API securityposture.googleapis.com dan securitycentermanagement.googleapis.com.

Membuat akun layanan

Buat akun layanan yang dapat Anda gunakan untuk plugin Google Analyze Code Security untuk Jenkins.

    Membuat akun layanan:

    1. Pastikan Anda memiliki peran IAM Membuat Akun Layanan (roles/iam.serviceAccountCreator) dan peran IAM Admin Project (roles/resourcemanager.projectIamAdmin). Pelajari cara memberikan peran.

    2. Di Google Cloud console, buka halaman Create service account.

      Buka Create service account
    3. Pilih project Anda.

    4. Di kolom Nama akun layanan, masukkan nama. Console akan mengisi kolom ID akun layanan berdasarkan nama ini. Google Cloud

      Di kolom Deskripsi akun layanan, masukkan sebuah deskripsi. Sebagai contoh, Service account for quickstart.

    5. Klik Create and continue.

    6. Berikan peran Security Posture Shift-Left Validator ke akun layanan.

      Untuk memberikan peran, temukan daftar Select a role, lalu pilih Security Posture Shift-Left Validator.

    7. Klik Lanjutkan.

    8. Klik Selesai untuk menyelesaikan pembuatan akun layanan.

      Jangan tutup jendela browser Anda. Anda akan menggunakannya pada langkah berikutnya.

    Membuat kunci akun layanan:

    1. Di Google Cloud console, klik alamat email untuk akun layanan yang telah dibuat.
    2. Klik Keys.
    3. Klik Tambahkan kunci, lalu klik Buat kunci baru.
    4. Klik Create. File kunci JSON akan didownload ke komputer Anda.
    5. Klik Close.

Untuk mengetahui informasi selengkapnya tentang izin validasi IaC, lihat IAM untuk aktivasi tingkat organisasi.

Menentukan kebijakan Anda

Tentukan kebijakan organisasi dan detektor Security Health AnalyticsAnda. Untuk menentukan kebijakan ini menggunakan postur keamanan, selesaikan tugas di Membuat dan men-deploy postur.

Menginstal dan mengonfigurasi plugin

  1. Di konsol Jenkins, klik Manage Jenkins > Manage Plugins.
  2. Di tab Available, telusuri google-analyze-code-security.
  3. Selesaikan langkah-langkah penginstalan.
  4. Klik Manage Jenkins > Configure System.
  5. Di bagian Google Analyze Code Security, klik Add credential.
  6. Di Organization ID, masukkan ID organisasi untuk Google Cloud organisasi yang menyertakan resource Terraform yang ingin Anda buat atau ubah.
  7. Di Security Command Center Credential, tambahkan kunci akun layanan.
  8. Uji koneksi untuk memverifikasi kredensial akun layanan.
  9. Klik Simpan.

Membuat file JSON rencana Terraform

  1. Buat kode Terraform Anda. Untuk mengetahui petunjuknya, lihat Membuat kode Terraform Anda.

  2. Instal plugin Terraform untuk Jenkins.

  3. Di konsol Jenkins, di project freestyle Jenkins Anda, buka halaman Configuration.

  4. Klik Source Code Management.

  5. Di Repository URL, masukkan URL ke kode Terraform yang Anda buat.

  6. Klik Build steps.

  7. Tambahkan langkah-langkah berikut:

    1. Lakukan inisialisasi Terraform:

      terraform init

    2. Buat file rencana Terraform.

      terraform plan -out=TF_PLAN_FILE

      Ganti TF_PLAN_FILE dengan nama untuk file rencana Terraform. Misalnya, myplan.tfplan.

    3. Konversikan file rencana Anda ke format JSON:

      terraform show -no-color -json TF_PLAN_FILE > TF_PLAN_JSON_FILE

      Ganti TF_PLAN_JSON_FILE dengan nama untuk file rencana Terraform, dalam format JSON. Misalnya, mytfplan.json.

Menambahkan plugin ke project Jenkins Anda

  1. Di konsol Jenkins, di project freestyle Jenkins Anda, buka halaman Configuration.
  2. Di Build Steps, klik Add build step > Perform Code Scan during Build.
  3. Masukkan ID organisasi Anda.
  4. Berikan jalur ke file rencana Terraform Anda, dalam format JSON.

  5. Opsional: Tetapkan kriteria kegagalan build. Kriteria kegagalan didasarkan pada jumlah masalah dengan tingkat keseriusan kritis, tinggi, sedang, dan rendah yang ditemui oleh pemindaian validasi IaC. Anda dapat menentukan jumlah masalah dari setiap tingkat keseriusan yang diizinkan dan cara masalah diagregasi (baik AND atau OR).

    1. Klik Fail on Asset Violation.

    2. Jika Anda ingin build gagal hanya jika jumlah masalah dari semua tingkat keseriusan tercapai, pilih AND. Jika Anda ingin build gagal jika jumlah masalah dari tingkat keseriusan apa pun tercapai, pilih OR. Misalnya, jika Anda ingin build gagal jika menemukan satu masalah kritis atau satu masalah dengan tingkat keseriusan tinggi, tetapkan nilai agregat ke OR.

    3. Tunjukkan jumlah masalah pada berbagai tingkat keseriusan yang ingin Anda izinkan sebelum build gagal.

    Jika Anda tidak ingin menentukan kriteria kegagalan, pilih Ignore Asset Violation.

  6. Klik Simpan.

Sekarang Anda dapat menjalankan build untuk memvalidasi file rencana Terraform Anda.

Melihat laporan pelanggaran IaC

  1. Di konsol Jenkins, klik alur kerja terbaru untuk build Anda.

  2. Klik Status. File HTML berikut tersedia sebagai artefak build:

    • Jika plugin berjalan, laporan pelanggaran (GoogleAnalyzeCodeSecurity_ViolationSummary.html)

    Laporan ini mengelompokkan pelanggaran berdasarkan tingkat keseriusan. Bagian pelanggaran menjelaskan aturan mana yang tidak terpenuhi dan ID aset dari rencana Terraform yang melanggar aturan tersebut.

    • Jika build gagal, laporan ringkasan error

  3. Selesaikan pelanggaran apa pun dalam kode Terraform Anda sebelum menerapkannya.

Langkah berikutnya