Utilizza la scansione on demand nella pipeline di Cloud Build

L'utilizzo della scansione on demand come parte della pipeline di Cloud Build ti consente di bloccare le build se l'immagine container presenta vulnerabilità con una gravità corrispondente a un livello predefinito.

Questo tutorial mostra come utilizzare Cloud Build per creare l'immagine container dal codice sorgente, analizzarla per rilevare eventuali vulnerabilità, controllare i livelli di gravità delle vulnerabilità ed eseguire il push dell'immagine su Artifact Registry se non sono presenti vulnerabilità di un livello di gravità specifico.

Ti consigliamo di creare un nuovo progetto Google Cloud per questo tutorial e di completare i passaggi in un ambiente isolato.

Obiettivi

  • Crea un'immagine con Cloud Build.
  • Scansiona l'immagine creata con la scansione on demand.
  • Valuta i livelli di vulnerabilità accettabili.
  • Archivia l'immagine in Artifact Registry.

Costi

In questo documento vengono utilizzati i seguenti componenti fatturabili di Google Cloud:

Per generare una stima dei costi in base all'utilizzo previsto, utilizza il calcolatore prezzi.

I nuovi utenti di Google Cloud potrebbero avere diritto a una prova senza costi.

Al termine delle attività descritte in questo documento, puoi evitare l'addebito di ulteriori costi eliminando le risorse che hai creato. Per saperne di più, consulta Esegui la pulizia.

Prima di iniziare

  1. Accedi al tuo account Google Cloud . Se non conosci Google Cloud, crea un account per valutare le prestazioni dei nostri prodotti in scenari reali. I nuovi clienti ricevono anche 300 $di crediti senza costi per l'esecuzione, il test e il deployment dei workload.

  2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  3. Verify that billing is enabled for your Google Cloud project.

  4. Enable the On-Demand Scanning, Cloud Build, and Artifact Registry APIs.

    Roles required to enable APIs

    To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

    Enable the APIs

  5. Installa Google Cloud CLI.

  6. Se utilizzi un provider di identità (IdP) esterno, devi prima accedere a gcloud CLI con la tua identità federata.

  7. Per inizializzare gcloud CLI, esegui questo comando: 

    gcloud init

  8. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  9. Verify that billing is enabled for your Google Cloud project.

  10. Enable the On-Demand Scanning, Cloud Build, and Artifact Registry APIs.

    Roles required to enable APIs

    To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

    Enable the APIs

  11. Installa Google Cloud CLI.

  12. Se utilizzi un provider di identità (IdP) esterno, devi prima accedere a gcloud CLI con la tua identità federata.

  13. Per inizializzare gcloud CLI, esegui questo comando: 

    gcloud init

Ruoli obbligatori

Il account di servizio che utilizzi con Cloud Build richiede i seguenti ruoli:

Il account di servizio Cloud Build predefinito dispone delle autorizzazioni richieste per i repository Artifact Registry nello stesso progetto. Se i tuoi repository si trovano nello stesso progetto che utilizzi per Cloud Build, devi solo concedere il ruolo Amministratore della scansione on demand.

Se utilizzi un account di servizio fornito dall'utente per Cloud Build, devi concedere entrambi i ruoli.

Prepara il file di origine

Per questo tutorial creerai un'immagine da un Dockerfile. Un Dockerfile è un file di origine che contiene le istruzioni per Docker per creare un'immagine.

  1. Apri un terminale, crea una nuova directory denominata ods-tutorial e vai alla directory:

    mkdir ods-tutorial && cd ods-tutorial

  2. Crea un file denominato Dockerfile con il seguente contenuto:

    # Debian10 image
FROM gcr.io/google-appengine/debian10:latest

# Ensures that the built image is always unique
RUN apt-get update && apt-get -y install uuid-runtime && uuidgen > /IAMUNIQUE

Crea un repository Artifact Registry

  1. Imposta l'ID progetto sullo stesso progetto in cui hai abilitato le API:

    gcloud config set project PROJECT_ID

  2. Crea un repository Docker denominato ods-build-repo nella località us-central1:

    gcloud artifacts repositories create ods-build-repo --repository-format=docker \
--location=us-central1 --description="Repository for scan and build"

  3. Verifica che il repository sia stato creato correttamente:

    gcloud artifacts repositories list

Crea e scansiona

In questa sezione eseguirai la pipeline di build utilizzando un file di configurazione della build. Un file di configurazione di compilazione indica a Cloud Build come eseguire diverse attività in base alle tue specifiche.

  1. Nella cartella ods-tutorial/, crea il file cloudbuild.yaml con il seguente contenuto:

    steps:
   - id: build
     name: gcr.io/cloud-builders/docker
     entrypoint: /bin/bash
     args:
     - -c
     - |
       docker build -t us-central1-docker.pkg.dev/$_PROJECT_ID/ods-build-repo/ods-test:latest -f ./Dockerfile . &&
       docker image inspect us-central1-docker.pkg.dev/$_PROJECT_ID/ods-build-repo/ods-test:latest --format \
       '{{index .RepoTags 0}}@{{.Id}}' > /workspace/image-digest.txt &&
       cat image-digest.txt
   - id: scan
     name: gcr.io/google.com/cloudsdktool/cloud-sdk
     entrypoint: /bin/bash
     args:
     - -c
     - |
       gcloud artifacts docker images scan us-central1-docker.pkg.dev/$_PROJECT_ID/ods-build-repo/ods-test:latest \
       --format='value(response.scan)' > /workspace/scan_id.txt
   - id: severity check
     name: gcr.io/google.com/cloudsdktool/cloud-sdk
     entrypoint: /bin/bash
     args:
     - -c
     - |
       gcloud artifacts docker images list-vulnerabilities $(cat /workspace/scan_id.txt) \
       --format='value(vulnerability.effectiveSeverity)' | if grep -Exq $_SEVERITY; \
       then echo 'Failed vulnerability check' && exit 1; else exit 0; fi
   - id: push
     name: gcr.io/cloud-builders/docker
     entrypoint: /bin/bash
     args:
     - -c
     - |
       docker push us-central1-docker.pkg.dev/$_PROJECT_ID/ods-build-repo/ods-test:latest
images: ['us-central1-docker.pkg.dev/$_PROJECT_ID/ods-build-repo/ods-test:latest']

    Questo file include la posizione e il repository creati in precedenza in Artifact Registry. Se decidi di utilizzare valori diversi, modifica il file cloudbuild.yaml di conseguenza. I valori di PROJECT_ID e