Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Den Amazon Inspector verwenden Jenkins Plugin

Das Jenkins Plugin nutzt die Amazon Inspector SBOM Generator-Binärdatei und die Amazon Inspector Scan API, um am Ende Ihres Builds detaillierte Berichte zu erstellen, sodass Sie Risiken vor der Bereitstellung untersuchen und beheben können. Mit dem Amazon Jenkins Inspector-Plugin können Sie Amazon Inspector-Schwachstellen-Scans zu Ihrer Pipeline hinzufügen. Jenkins Amazon Inspector-Sicherheitslücken können je nach Anzahl und Schweregrad der erkannten Sicherheitslücken so konfiguriert werden, dass sie Pipeline-Ausführungen bestehen oder nicht. Die neueste Version des Jenkins Plugins finden Sie auf dem Jenkins Marktplatz unter https://plugins.jenkins.io/amazon-inspector-image-scanner/. In den folgenden Schritten wird beschrieben, wie Sie das Amazon Jenkins Inspector-Plugin einrichten.

Schritt 1. Richten Sie eine ein AWS-Konto

Konfigurieren Sie eine AWS-Konto mit einer IAM-Rolle, die den Zugriff auf die Amazon Inspector Scan API ermöglicht. Detaillierte Anweisungen finden Sie unter Einrichtung einer AWS Konto, um die Amazon CI/CD Inspector-Integration zu verwenden.

Schritt 2. Installieren Sie das Amazon Inspector Jenkins-Plugin

Das folgende Verfahren beschreibt, wie Sie das Amazon Inspector Jenkins-Plugin vom Dashboard aus installieren. Jenkins

(Optional) Schritt 3. Fügen Sie Docker-Anmeldeinformationen hinzu Jenkins

Das folgende Verfahren beschreibt, wie Sie Docker-Anmeldeinformationen vom Dashboard Jenkins aus hinzufügen. Jenkins

(Optional) Schritt 4. Addition AWS Anmeldedaten

Das folgende Verfahren beschreibt, wie Sie AWS Anmeldeinformationen aus dem Jenkins Dashboard hinzufügen.

Schritt 5. Fügen Sie CSS-Unterstützung in einem hinzu Jenkins script

Das folgende Verfahren beschreibt, wie Sie CSS-Unterstützung in einem Jenkins Skript hinzufügen.

Schritt 6: Fügen Sie Amazon Inspector Scan zu Ihrem Build hinzu

Sie können Amazon Inspector Scan zu Ihrem Build hinzufügen, indem Sie Ihrem Projekt einen Build-Schritt hinzufügen oder die Jenkins deklarative Pipeline verwenden.

Amazon Inspector Scan zu Ihrem Build, indem Sie Ihrem Projekt einen Build-Schritt hinzufügen

Fügen Sie Amazon Inspector Scan zu Ihrem Build hinzu, indem Sie Jenkins deklarative Pipeline

Sie können Amazon Inspector Scan mithilfe der deklarativen Jenkins-Pipeline automatisch oder manuell zu Ihrem Build hinzufügen.

pipeline {
    agent any    
    stages {        
        stage('amazon-inspector-image-scanner') {
            steps {
                script {
                step([
                $class: 'com.amazon.inspector.jenkins.amazoninspectorbuildstep.AmazonInspectorBuilder',
                archivePath: 'IMAGE_PATH', // Path to your container image or tar file
                awsRegion: 'REGION', // AWS region for scan requests
                iamRole: 'IAM ROLE', // IAM role ARN for authentication
                credentialId: 'Id', // Docker credentials (empty if public repo)
                awsCredentialId: 'AWS ID', // AWS credential ID for authentication
                awsProfileName: 'Profile Name', // AWS profile name to use
                sbomgenSkipFiles: '*.log,node_modules,/tmp/*', // Files/directories to exclude from scanning

                // Vulnerability threshold settings (updated parameter names)
                isSeverityThresholdEnabled: false, // Enable/disable build failure on vulnerability count
                countCritical: 0, // Max critical vulnerabilities before build fails
                countHigh: 0, // Max high vulnerabilities before build fails
                countMedium: 5, // Max medium vulnerabilities before build fails
                countLow: 10, // Max low vulnerabilities before build fails

                // EPSS (Exploit Prediction Scoring System) settings
                isEpssThresholdEnabled: false, // Enable/disable EPSS-based failure threshold
                epssThreshold: 0.7, // EPSS score threshold (0.0 to 1.0)

                // NEW FEATURE: CVE Suppression - ignore specific false positives
                isSuppressedCveEnabled: false, // Enable CVE suppression feature
                suppressedCveList: '', // Comma-separated list of CVEs to ignore in thresholds

                // NEW FEATURE: Auto-Fail CVEs - always fail on critical security issues  
                isAutoFailCveEnabled: false, // Enable auto-fail CVE feature
                autoFailCveList: '' // Comma-separated list of CVEs that always fail build
                ])
            }
        }
    }
}

pipeline {
    agent any
    stages {
        stage('amazon-inspector-image-scanner') {
            steps {
                script {
                step([
                $class: 'com.amazon.inspector.jenkins.amazoninspectorbuildstep.AmazonInspectorBuilder',
                archivePath: 'IMAGE_PATH', // Path to your container image or tar file
                awsRegion: 'REGION', // AWS region for scan requests
                iamRole: 'IAM ROLE', // IAM role ARN for authentication
                credentialId: 'Id', // Docker credentials (empty if public repo)
                awsCredentialId: 'AWS ID', // AWS credential ID for authentication
                awsProfileName: 'Profile Name', // AWS profile name to use
                sbomgenSkipFiles: '*.log,node_modules,/tmp/*', // Files/directories to exclude from scanning

                // Vulnerability threshold settings (updated parameter names)
                isSeverityThresholdEnabled: false, // Enable/disable build failure on vulnerability count
                countCritical: 0, // Max critical vulnerabilities before build fails
                countHigh: 0, // Max high vulnerabilities before build fails
                countMedium: 5, // Max medium vulnerabilities before build fails
                countLow: 10, // Max low vulnerabilities before build fails

                // EPSS (Exploit Prediction Scoring System) settings
                isEpssThresholdEnabled: false, // Enable/disable EPSS-based failure threshold
                epssThreshold: 0.7, // EPSS score threshold (0.0 to 1.0)

                // NEW FEATURE: CVE Suppression - ignore specific false positives
                isSuppressedCveEnabled: false, // Enable CVE suppression feature
                suppressedCveList: '', // Comma-separated list of CVEs to ignore in thresholds

                // NEW FEATURE: Auto-Fail CVEs - always fail on critical security issues  
                isAutoFailCveEnabled: false, // Enable auto-fail CVE feature
                autoFailCveList: '' // Comma-separated list of CVEs that always fail build
                ])
            }
        }
    }
}

Das Plugin enthält Funktionen zur Verwaltung von Sicherheitslücken.

Unterdrückte CVE-Liste

Scans können gelegentlich Sicherheitslücken erkennen, bei denen es sich nicht um tatsächliche Bedrohungen handelt. Um zu verhindern, dass diese Fehlalarme Ihren Build stoppen, können Sie sie zu einer Liste mit unterdrückten Ergebnissen hinzufügen.

isSuppressedCveEnabled: true,
suppressedCveList: 'CVE-2023-1234,CVE-2023-5678'
           

Dadurch werden bestimmte CVEs ignoriert, wenn überprüft wird, ob Ihr Build fehlschlagen sollte. Sie sollten der Liste der Unterdrückten nur dann Fehlalarme hinzufügen, wenn Sie diese behoben haben. Nachdem Sie diese Sicherheitslücken zur Liste der unterdrückten Sicherheitslücken hinzugefügt haben, werden die CVEs weiterhin in Ihrem Sicherheitsbericht angezeigt, sie führen jedoch nicht zu Build-Fehlern.

Auto-Fail CVE-Liste

Für kritische Sicherheitslücken können Sie eine Liste erstellen, die immer dazu führt, dass Ihr Build fehlschlägt.

isAutoFailCveEnabled: true,
autoFailCveList: 'CVE-2024-9999'
           

Dies führt immer dazu, dass Ihre Builds fehlschlagen, unabhängig davon, welche Einstellungen Sie aktiviert haben. Sie sollten diese Liste nur für Sicherheitsprobleme mit hoher Priorität erstellen, die niemals implementiert werden sollten. Die Liste überschreibt alle anderen Schwellenwerteinstellungen, um maximale Sicherheit zu gewährleisten.

Schritt 7. Sehen Sie sich Ihren Amazon Inspector Schwachstellenbericht an

Fehlerbehebung

Die folgenden Fehler können häufig auftreten, wenn Sie das Amazon Inspector Scan-Plugin für verwendenJenkins.

Anmeldeinformationen konnten nicht geladen werden oder es liegt ein Ausnahmefehler vor

Fehler:

InstanceProfileCredentialsProvider(): Failed to load credentials or sts exception.

Auflösung

Holen Sie sich aws_access_key_id und aws_secret_access_key für Ihr AWS Konto. Einrichten aws_access_key_id und aws_secret_access_key rein~/.aws/credentials.

Das Bild konnte nicht aus Tarball-, lokalen oder Remote-Quellen geladen werden

Fehler:

2024/10/16 02:25:17 [ImageDownloadFailed]: failed to load image from tarball, local, or remote sources.

Auflösung

Überprüfen Sie Folgendes:

Inspector-sbomgen Pfadfehler

Fehler:

Exception:com.amazon.inspector.jenkins.amazoninspectorbuildstep.exception.SbomgenNotFoundException: There was an issue running inspector-sbomgen, is /opt/inspector/inspector-sbomgen the correct path?

Auflösung

Gehen Sie wie folgt vor, um das Problem zu beheben.