Mengintegrasikan validasi IaC dengan Jenkins

Paket layanan Standar-lama, Premium, dan Enterprise (memerlukan aktivasi level organisasi)

Paket layanan Security Command Center Enterprise akan dihentikan pada 21 Mei 2027. Jika organisasi Anda menggunakan paket layanan Enterprise, organisasi tersebut akan otomatis dipindahkan ke paket layanan Premium pada atau setelah 21 Mei 2027. Hubungi perwakilan akun atau a Google Cloud spesialis penjualan jika Anda memiliki pertanyaan.

Anda dapat menggunakan plugin Google Analyze Code Security untuk Jenkins guna memvalidasi infrastruktur sebagai kode (IaC) yang merupakan bagian dari project Jenkins Anda. Dengan memvalidasi IaC, Anda dapat menentukan apakah definisi resource Terraform Anda melanggar kebijakan organisasi dan detektor Security Health Analytics yang ada yang diterapkan ke Google Cloud resource Anda.

Untuk mengetahui informasi selengkapnya tentang validasi IaC, lihat Memvalidasi IaC terhadap kebijakan organisasi Anda. Google Cloud

Validasi IaC hanya berfungsi dengan project gaya bebas Jenkins.

Sebelum memulai

Selesaikan tugas berikut untuk mulai menggunakan validasi IaC dengan Jenkins.

Mengaktifkan paket Premium atau Enterprise Security Command Center

Pastikan paket Premium atau Enterprise Security Command Center diaktifkan di tingkat organisasi.

Mengaktifkan Security Command Center akan mengaktifkan API securityposture.googleapis.com dan securitycentermanagement.googleapis.com.

Membuat akun layanan

Buat akun layanan yang dapat Anda gunakan untuk plugin Google Analyze Code Security untuk Jenkins.

Buat akun layanan:

1. Pastikan Anda memiliki peran IAM Membuat Akun Layanan (roles/iam.serviceAccountCreator) dan peran IAM Admin Project (roles/resourcemanager.projectIamAdmin). Pelajari cara memberikan peran.

2. Di Google Cloud konsol, buka halaman Buat akun layanan.

   Buka Buat akun layanan
3. Pilih project Anda.

4. Di kolom Nama akun layanan, masukkan nama. Konsol akan mengisi kolom ID akun layanan berdasarkan nama ini. Google Cloud

   Di kolom Deskripsi akun layanan, masukkan deskripsi. Sebagai contoh, Service account for quickstart.

5. Klik Create and continue.

6. Berikan peran Security Posture Shift-Left Validator ke akun layanan.

   Untuk memberikan peran, temukan daftar Select a role, lalu pilih Security Posture Shift-Left Validator.

   Catatan: Kolom Role memengaruhi resource mana yang dapat diakses oleh akun layanan di project Anda. Anda dapat mencabut peran ini atau memberikan peran tambahan di lain waktu.
7. Klik Continue.

8. Klik Done untuk menyelesaikan pembuatan akun layanan.

   Jangan tutup jendela browser Anda. Anda akan menggunakannya pada langkah berikutnya.

Membuat kunci akun layanan:

1. Di Google Cloud console, klik alamat email untuk akun layanan yang telah dibuat.
2. Klik Keys.
3. Klik Tambahkan kunci, lalu klik Buat kunci baru.
4. Klik Create. File kunci JSON akan didownload ke komputer Anda.
5. Klik Close.

Untuk mengetahui informasi selengkapnya tentang izin validasi IaC, lihat IAM untuk aktivasi level organisasi.

Menentukan kebijakan Anda

Tentukan kebijakan organisasi dan detektor Security Health AnalyticsAnda. Untuk menentukan kebijakan ini menggunakan postur keamanan, selesaikan tugas di Membuat dan men-deploy postur.

Menginstal dan mengonfigurasi plugin

1. Di konsol Jenkins, klik Manage Jenkins > Manage Plugins.
2. Di tab Available, telusuri google-analyze-code-security.
3. Selesaikan langkah-langkah penginstalan.
4. Klik Manage Jenkins > Configure System.
5. Di bagian Google Analyze Code Security, klik Add credential.
6. Di Organization ID, masukkan ID organisasi untuk Google Cloud organisasi yang menyertakan resource Terraform yang ingin Anda buat atau ubah.
7. Di Security Command Center Credential, tambahkan kunci akun layanan.
8. Uji koneksi untuk memverifikasi kredensial akun layanan.
9. Klik Save.

Membuat file JSON rencana Terraform

1. Buat kode Terraform Anda. Untuk mengetahui petunjuknya, lihat Membuat kode Terraform Anda.

2. Instal plugin Terraform untuk Jenkins.

3. Di konsol Jenkins, di project gaya bebas Jenkins Anda, buka halaman Configuration.

4. Klik Source Code Management.

5. Di Repository URL, masukkan URL ke kode Terraform yang Anda buat.

6. Klik Build steps.

7. Tambahkan langkah-langkah berikut:

   1. Lakukan inisialisasi Terraform:

      terraform init
      

   2. Buat file rencana Terraform.

      terraform plan -out=TF_PLAN_FILE
      

      Ganti TF_PLAN_FILE dengan nama untuk file rencana Terraform. Sebagai contoh, myplan.tfplan.

   3. Konversikan file rencana Anda ke format JSON:

      terraform show -no-color -json TF_PLAN_FILE > TF_PLAN_JSON_FILE
      

      Ganti TF_PLAN_JSON_FILE dengan nama untuk file rencana Terraform, dalam format JSON. Sebagai contoh, mytfplan.json.

Menambahkan plugin ke project Jenkins Anda

1. Di konsol Jenkins, di project gaya bebas Jenkins Anda, buka halaman Configuration.
2. Di Build Steps, klik Add build step > Perform Code Scan during Build.
3. Masukkan ID organisasi Anda.
4. Berikan jalur ke file rencana Terraform Anda, dalam format JSON.

5. Opsional: Tetapkan kriteria kegagalan build. Kriteria kegagalan didasarkan pada jumlah masalah tingkat keseriusan kritis, tinggi, sedang, dan rendah yang ditemui oleh pemindaian validasi IaC. Anda dapat menentukan jumlah masalah dari setiap tingkat keseriusan yang diizinkan dan cara masalah diagregasi (baik AND maupun OR).

   1. Klik Fail on Asset Violation.

   2. Jika Anda ingin build gagal hanya jika jumlah masalah dari semua tingkat keseriusan tercapai, pilih AND. Jika Anda ingin build gagal jika jumlah masalah dari tingkat keseriusan apa pun tercapai, pilih OR. Misalnya, jika Anda ingin build gagal jika menemukan satu masalah kritis atau satu masalah tingkat keseriusan tinggi, tetapkan nilai agregat ke OR.

   3. Tunjukkan jumlah masalah pada berbagai tingkat keseriusan yang ingin Anda izinkan sebelum build gagal.

   Jika Anda tidak ingin menentukan kriteria kegagalan, pilih Ignore Asset Violation.

6. Klik Save.

Kini Anda dapat menjalankan build untuk memvalidasi file rencana Terraform Anda.

Melihat laporan pelanggaran IaC

1. Di konsol Jenkins, klik alur kerja terbaru untuk build Anda.

2. Klik Status. File HTML berikut tersedia sebagai artefak build:

   • Jika plugin berjalan, laporan pelanggaran (GoogleAnalyzeCodeSecurity_ViolationSummary.html)

   Laporan ini mengelompokkan pelanggaran berdasarkan tingkat keseriusan. Bagian pelanggaran menjelaskan aturan mana yang tidak terpenuhi dan ID aset dari rencana Terraform yang melanggar aturan tersebut.

   • Jika build gagal, laporan ringkasan error

3. Selesaikan pelanggaran apa pun dalam kode Terraform Anda sebelum menerapkannya.

Langkah berikutnya

• Lihat plugin Google Analyze Code Security.