Mengintegrasikan validasi IaC dengan Cloud Build

Anda dapat menulis konfigurasi build yang menginstruksikan Cloud Build untuk memvalidasi infrastruktur sebagai kode (IaC) yang merupakan bagian dari build Anda. Memvalidasi IaC memungkinkan Anda menentukan apakah Definisi resource Terraform melanggar kebijakan organisasi yang ada dan Pendeteksi Security Health Analytics yang diterapkan ke resource Google Cloud Anda.

Untuk informasi selengkapnya tentang validasi IaC, lihat Validasi IaC berdasarkan kebijakan organisasi Google Cloud Anda.

Sebelum memulai

Selesaikan tugas ini untuk memulai validasi IaC menggunakan Cloud Build.

Aktifkan paket Enterprise atau paket Premium Security Command Center Premium

Verifikasi bahwa Paket Security Command Center Premium atau paket Enterprise diaktifkan di tingkat organisasi.

Mengaktifkan Security Command Center mengaktifkan securityposture.googleapis.com dan securitycentermanagement.googleapis.com API.

Siapkan izin

  1. Make sure that you have the following role or roles on the organization:

    • Security Posture Shift-Left Validator
    • Log Writer
    • Storage Writer
    • Storage Reader

    Check for the roles

    1. In the Google Cloud console, go to the IAM page.

      Go to IAM
    2. Select the organization.

    3. In the Principal column, find all rows that identify you or a group that you're included in. To learn which groups you're included in, contact your administrator.

    4. For all rows that specify or include you, check the Role colunn to see whether the list of roles includes the required roles.

    Grant the roles

    1. In the Google Cloud console, go to the IAM page.

      Buka IAM
    2. Pilih organisasi.
    3. Klik Berikan akses.

    4. Di kolom New principals, masukkan ID pengguna Anda. Ini biasanya adalah alamat email untuk Akun Google.

    5. Di daftar Pilih peran, pilih peran.
    6. Untuk memberikan peran tambahan, klik Tambahkan peran lain, lalu tambahkan setiap peran tambahan.
    7. Klik Simpan.

    Untuk informasi selengkapnya tentang izin validasi IaC, lihat IAM untuk aktivasi tingkat organisasi.

    Mengaktifkan Cloud Build API

    1. Aktifkan API Cloud Build.

      Mengaktifkan API

    Menentukan kebijakan

    Tentukan kebijakan organisasi dan Pendeteksi Security Health Analytics. Untuk menentukan kebijakan ini menggunakan postur keamanan, selesaikan tugas di Buat dan terapkan postur.

    Membuat kode Terraform

    Untuk mengetahui petunjuknya, lihat Buat kode Terraform.

    Memvalidasi IAC Anda di Cloud Build

    Tambahkan tugas berikut ke file cloudbuild.yaml Anda:

    1. Lakukan inisialisasi Terraform:

      - name: hashicorp/terraform
  args:
    - '-c'
    - |
      terraform init \
        -backend-config="bucket=STATE_BUCKET" \
        -backend-config="prefix=REPOSITORY_NAME" \
  dir: FOLDER
  id: Terraform Init
  entrypoint: sh

      Ganti kode berikut:

      • STATE_BUCKET dengan nama bucket Cloud Storage untuk menyimpan status Terraform di
      • REPOSITORY_NAME dengan repositori yang menghosting kode Terraform.
      • FOLDER dengan nama folder untuk menyimpan Terraform artefak.

    2. Buat file rencana:

      - name: hashicorp/terraform
  args:
    - '-c'
    - |
      terraform plan -out tf.plan
  dir: FOLDER
  id: Terraform Plan
  entrypoint: sh

    3. Konversi file rencana ke format JSON:

      - name: hashicorp/terraform
  args:
    - '-c'
    - |
      terraform show -json tf.plan > plan.json
  dir: FOLDER
  id: Terraform Show
  entrypoint: sh

    4. Buat laporan validasi IaC:

      - name: gcr.io/cloud-builders/gcloud
  args:
    - '-c'
    - |
      gcloud scc iac-validation-reports create \
      organizations/ORGANIZATION_ID/locations/global --tf-plan-file=plan.json \
      --format="json(response.iacValidationReport)" > IaCScanReport_$BUILD_ID.json
  dir: FOLDER
  id: Run IaC scan
  entrypoint: /bin/bash

      Ganti ORGANIZATION_ID dengan ID organisasi Anda.

    5. Jika Anda menggunakan Cloud Storage, upload file hasil JSON ke Penyimpanan Cloud:

      - name: gcr.io/cloud-builders/gsutil
  args:
    - cp
    - IaCScanReport_$BUILD_ID.json
    - SCAN_RESULT_FILE_BUCKET
  dir: FOLDER
  id: Upload report file

      Ganti SCAN_RESULT_FILE_BUCKET dengan Bucket Cloud Storage untuk mengupload file hasil.

    6. Untuk melihat hasil dalam format SARIF, selesaikan langkah-langkah berikut:

      1. Konversi file:

        - name: golang
  args:
    - '-c'
    - |
      go run github.com/google/gcp-scc-iac-validation-utils/SARIFConverter@latest \
        --inputFilePath=IaCScanReport_$BUILD_ID.json
        --outputFilePath=IaCScanReport_$BUILD_ID.sarif.json
  dir: FOLDER
  id: Convert to SARIF format
  entrypoint: /bin/bash

      2. Opsional: upload file ke Cloud Storage:

        - name: gcr.io/cloud-builders/gsutil
  args:
    - cp
    - IaCScanReport_$BUILD_ID.sarif.json
    - SCAN_RESULT_FILE_BUCKET
  dir: FOLDER
  id: Upload report file

    7. Validasi hasilnya. Selesaikan langkah ini di file JSON hasil yang belum Anda konversi ke format SARIF:

      - name: golang
  args:
    - '-c'
    - |
      go run github.com/google/gcp-scc-iac-validation-utils/ReportValidator@latest \
        --inputFilePath=IaCScanReport_$BUILD_ID.json --failure_expression=FAILURE_CRITERIA
  dir: FOLDER
  id: Validate results
  entrypoint: /bin/bash

      Ganti FAILURE_CRITERIA dengan nilai minimum kegagalan yang menentukan kapan build gagal. Kriteria ambang batasnya adalah berdasarkan jumlah masalah dengan tingkat keparahan kritis, tinggi, sedang, dan rendah yang pemindaian validasi IaC. FAILURE_CRITERIA menentukan jumlah masalah dari setiap tingkat keparahan yang diizinkan, dan juga menentukan cara masalah digabungkan (AND atau OR). Misalnya, jika Anda ingin build gagal jika mengalami satu masalah kritis atau masalah tinggi tingkat keparahan, tetapkan FAILURE_CRITERIA ke Critical:1,High:1,Operator:OR. Defaultnya adalah Critical:1,High:1,Medium:1,Low:1,Operator:OR, yang berarti jika IaC pemindaian validasi mengalami pelanggaran dengan tingkat keparahan apa pun, build harus gagal.

    8. Jika build gagal, selesaikan pelanggaran dalam kode Terraform Anda.

    Langkah selanjutnya