애플리케이션 빌드 및 보안 통계 보기

이 빠른 시작에서는 Google Cloud 콘솔의 Software Delivery Shield 보안 통계 패널에서 애플리케이션을 빌드하고 빌드에 대한 보안 통계를 확인하는 방법을 설명합니다.

실습할 내용은 다음과 같습니다.

  • Cloud Build를 사용하여 자바 애플리케이션을 빌드 및 컨테이너화하고 컨테이너 이미지를 Artifact Registry Docker 저장소에 푸시합니다.

  • 빌드에 대한 다음 보안 통계를 확인합니다.

    • SLSA(Supply-chain Levels for Software Artifacts) 수준: SLSA 사양에 따라 소프트웨어 빌드 프로세스의 성숙도 수준을 식별합니다.
    • 빌드 아티팩트의 취약점
    • 빌드 아티팩트에 대한 소프트웨어 재료명세서(SBOM)
    • 빌드 출처: 빌드에 대한 검증 가능한 메타데이터의 모음. 빌드된 이미지의 다이제스트, 입력 소스 위치, 빌드 도구 모음, 빌드 단계, 빌드 기간과 같은 세부정보가 포함됩니다.

시작하기 전에

  1. Google Cloud 계정에 로그인합니다. Google Cloud를 처음 사용하는 경우 계정을 만들고 Google 제품의 실제 성능을 평가해 보세요. 신규 고객에게는 워크로드를 실행, 테스트, 배포하는 데 사용할 수 있는 $300의 무료 크레딧이 제공됩니다.
  2. Google Cloud CLI를 설치합니다.

  3. gcloud CLI를 초기화하려면 다음 명령어를 실행합니다. 

    gcloud init

  4. Google Cloud 프로젝트를 만들거나 선택합니다.

    • Google Cloud 프로젝트를 만듭니다.

      gcloud projects create PROJECT_ID

      PROJECT_ID를 만들려는 Google Cloud 프로젝트의 이름으로 바꿉니다.

    • 만든 Google Cloud 프로젝트를 선택합니다.

      gcloud config set project PROJECT_ID

      PROJECT_ID를 Google Cloud 프로젝트 이름으로 바꿉니다.

  5. Google Cloud 프로젝트에 결제가 사용 설정되어 있는지 확인합니다.

  6. Cloud Build, Artifact Registry, and Container Scanning API를 사용 설정합니다. 

    gcloud services enable cloudbuild.googleapis.com  artifactregistry.googleapis.com  containerscanning.googleapis.com
    7.
  7. Google Cloud CLI를 설치합니다.

  8. gcloud CLI를 초기화하려면 다음 명령어를 실행합니다. 

    gcloud init

  9. Google Cloud 프로젝트를 만들거나 선택합니다.

    • Google Cloud 프로젝트를 만듭니다.

      gcloud projects create PROJECT_ID

      PROJECT_ID를 만들려는 Google Cloud 프로젝트의 이름으로 바꿉니다.

    • 만든 Google Cloud 프로젝트를 선택합니다.

      gcloud config set project PROJECT_ID

      PROJECT_ID를 Google Cloud 프로젝트 이름으로 바꿉니다.

  10. Google Cloud 프로젝트에 결제가 사용 설정되어 있는지 확인합니다.

  11. Cloud Build, Artifact Registry, and Container Scanning API를 사용 설정합니다. 

    gcloud services enable cloudbuild.googleapis.com  artifactregistry.googleapis.com  containerscanning.googleapis.com
    12.

개발 환경 준비하기

  1. 프로젝트 ID를 환경 변수로 설정합니다.

    export PROJECT_ID=$(gcloud config get project)

  2. 빌드하고 컨테이너화할 자바 코드 샘플이 있는 저장소를 클론합니다.

    git clone https://github.com/googlecloudplatform/software-delivery-shield-demo-java.git
cd software-delivery-shield-demo-java/backend

이미지의 Artifact Registry 저장소 만들기

  1. us-central1 위치에 'Docker 저장소' 설명과 함께 containers라는 새 Docker 저장소를 만듭니다. 

    gcloud artifacts repositories create containers \
    --repository-format=docker \
    --location=us-central1 --description="Docker repository"

  2. 저장소가 만들어졌는지 확인합니다.

    gcloud artifacts repositories list

    표시된 저장소 목록에 containers가 표시됩니다.

애플리케이션 빌드

Cloud Build를 사용하여 자바 애플리케이션을 빌드하고 컨테이너화합니다. 다음 명령어는 자바 애플리케이션을 빌드 및 컨테이너화하고 빌드된 컨테이너를 Artifact Registry Docker 저장소에 저장합니다.

gcloud builds submit --config=cloudbuild.yaml --region=us-central1

빌드가 완료되면 다음과 비슷한 성공 상태 메시지가 표시됩니다.

<pre class="none lang-sh">
DONE
-----------------------------------------------------------------------------
ID: 3e08565f-7f57-4449-bc68-51c46cf33d03
CREATE_TIME: 2022-09-19T15:41:07+00:00
DURATION: 54S
SOURCE: gs://sds-docs-project_cloudbuild/source/1663602066.777581-6ebe4b2d6fd741ffa18936d7f78055e9.tgz
IMAGES: us-central1-docker.pkg.dev/sds-docs-project/containers/java-guestbook-backend:quickstart
STATUS: SUCCESS
</pre>

빌드된 이미지에 대한 SBOM 생성

SBOM은 소프트웨어에서 사용하는 전체 패키지를 식별하는 애플리케이션의 전체 인벤토리입니다. 이러한 콘텐츠에는 공급업체의 서드 파티 소프트웨어, 내부 아티팩트, 오픈소스 라이브러리가 포함될 수 있습니다.

이전 섹션에서 빌드한 이미지의 SBOM을 생성합니다.

gcloud artifacts sbom export
    --uri=us-central1-docker.pkg.dev/${PROJECT_ID}/containers/java-guestbook-backend:quickstart

보안 통계 보기

Google Cloud 콘솔의 Cloud Build UI에는 SLSA 수준, 종속 항목의 취약점, 빌드 출처 등 보안과 관련된 보안 정보를 표시하는 Software Delivery Shield 보안 통계 패널이 있습니다.

Software Delivery Shield 보안 통계 패널을 보려면 다음 안내를 따르세요.

  1. Google Cloud 콘솔에서 빌드 기록 페이지를 엽니다.

    빌드 기록 페이지 열기

  2. 프로젝트를 선택하고 열기를 클릭합니다.

  3. 리전 드롭다운 메뉴에서 us-central1을 선택합니다.

  4. 빌드가 포함된 테이블에서 방금 실행한 빌드가 있는 행을 찾습니다.

  5. 보안 통계 열에서 보기를 클릭합니다.

빌드의 보안 통계 패널이 표시됩니다.

Software Delivery Shield 패널 스크린샷

이 패널에는 다음과 같은 정보가 표시됩니다.

  • SLSA 레벨: 이 빌드는 SLSA 레벨 3을 달성했습니다. 자세히 알아보기 링크를 클릭하여 이 보안 수준의 의미를 알아보세요.

  • 취약점: 아티팩트에서 발견된 모든 취약점. 이미지 이름(java-guestbook-backend)을 클릭하여 취약점이 스캔된 아티팩트를 확인합니다.

  • Artifact Registry에 빌드된 컨테이너 이미지의 종속 항목

  • 빌드 세부정보: 빌더 및 로그 보기 링크와 같은 빌드 세부정보.

삭제

이 페이지에서 사용한 리소스 비용이 Google Cloud 계정에 청구되지 않도록 하려면 리소스가 포함된 Google Cloud 프로젝트를 삭제하면 됩니다.

  1. Container Scanning API를 사용 중지합니다.

    gcloud services disable containerscanning.googleapis.com --force

  2. Artifact Registry 저장소를 삭제합니다.

    gcloud artifacts repositories delete containers \
    --location=us-central1 --async

    이제 이 빠른 시작의 일부로 만든 이미지가 저장소가 삭제되었습니다.

다음 단계