本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

使用 Amazon Inspector Jenkins 外掛程式

Jenkins 外掛程式利用 Amazon Inspector SBOM 產生器二進位檔和 Amazon Inspector Scan API 在建置結束時產生詳細報告，因此您可以在部署之前調查和修復風險。使用 Amazon Inspector Jenkins外掛程式，您可以將 Amazon Inspector 漏洞掃描新增至Jenkins管道。Amazon Inspector 漏洞掃描可以設定為根據偵測到的漏洞數量和嚴重性來傳遞或失敗管道執行。您可以在 Jenkins https：//https://plugins.jenkins.io/amazon-inspector-image-scanner/ 市集中檢視最新版本的Jenkins外掛程式。下列步驟說明如何設定 Amazon Inspector Jenkins 外掛程式。

步驟 1. 設定 AWS 帳戶

AWS 帳戶 使用允許存取 Amazon Inspector Scan API 的 IAM 角色來設定 。如需說明，請參閱設定 AWS 帳戶以使用 Amazon Inspector CI/CD 整合。

步驟 2. 安裝 Amazon Inspector Jenkins 外掛程式

下列程序說明如何從Jenkins儀表板安裝 Amazon Inspector Jenkins 外掛程式。

(選用) 步驟 3. 將 docker 登入資料新增至 Jenkins

下列程序說明如何Jenkins從Jenkins儀表板將 docker 登入資料新增至 。

（選用） 步驟 4。新增 AWS 登入資料

下列程序說明如何從Jenkins儀表板新增 AWS 登入資料。

步驟 5. 在Jenkins指令碼中新增 CSS 支援

下列程序說明如何在Jenkins指令碼中新增 CSS 支援。

步驟 6. 將 Amazon Inspector Scan 新增至您的建置

您可以在專案中新增建置步驟或使用宣告管道，將 Amazon Inspector Scan Jenkins 新增至您的建置。

在專案中新增建置步驟，將 Amazon Inspector Scan 掃描到您的建置

使用宣告管道將 Amazon Inspector Scan Jenkins 新增至您的建置

您可以使用 Jenkins 宣告管道自動或手動將 Amazon Inspector Scan 新增至您的建置。

pipeline {
    agent any    
    stages {        
        stage('amazon-inspector-image-scanner') {
            steps {
                script {
                step([
                $class: 'com.amazon.inspector.jenkins.amazoninspectorbuildstep.AmazonInspectorBuilder',
                archivePath: 'IMAGE_PATH', // Path to your container image or tar file
                awsRegion: 'REGION', // AWS region for scan requests
                iamRole: 'IAM ROLE', // IAM role ARN for authentication
                credentialId: 'Id', // Docker credentials (empty if public repo)
                awsCredentialId: 'AWS ID', // AWS credential ID for authentication
                awsProfileName: 'Profile Name', // AWS profile name to use
                sbomgenSkipFiles: '*.log,node_modules,/tmp/*', // Files/directories to exclude from scanning

                // Vulnerability threshold settings (updated parameter names)
                isSeverityThresholdEnabled: false, // Enable/disable build failure on vulnerability count
                countCritical: 0, // Max critical vulnerabilities before build fails
                countHigh: 0, // Max high vulnerabilities before build fails
                countMedium: 5, // Max medium vulnerabilities before build fails
                countLow: 10, // Max low vulnerabilities before build fails

                // EPSS (Exploit Prediction Scoring System) settings
                isEpssThresholdEnabled: false, // Enable/disable EPSS-based failure threshold
                epssThreshold: 0.7, // EPSS score threshold (0.0 to 1.0)

                // NEW FEATURE: CVE Suppression - ignore specific false positives
                isSuppressedCveEnabled: false, // Enable CVE suppression feature
                suppressedCveList: '', // Comma-separated list of CVEs to ignore in thresholds

                // NEW FEATURE: Auto-Fail CVEs - always fail on critical security issues  
                isAutoFailCveEnabled: false, // Enable auto-fail CVE feature
                autoFailCveList: '' // Comma-separated list of CVEs that always fail build
                ])
            }
        }
    }
}

pipeline {
    agent any
    stages {
        stage('amazon-inspector-image-scanner') {
            steps {
                script {
                step([
                $class: 'com.amazon.inspector.jenkins.amazoninspectorbuildstep.AmazonInspectorBuilder',
                archivePath: 'IMAGE_PATH', // Path to your container image or tar file
                awsRegion: 'REGION', // AWS region for scan requests
                iamRole: 'IAM ROLE', // IAM role ARN for authentication
                credentialId: 'Id', // Docker credentials (empty if public repo)
                awsCredentialId: 'AWS ID', // AWS credential ID for authentication
                awsProfileName: 'Profile Name', // AWS profile name to use
                sbomgenSkipFiles: '*.log,node_modules,/tmp/*', // Files/directories to exclude from scanning

                // Vulnerability threshold settings (updated parameter names)
                isSeverityThresholdEnabled: false, // Enable/disable build failure on vulnerability count
                countCritical: 0, // Max critical vulnerabilities before build fails
                countHigh: 0, // Max high vulnerabilities before build fails
                countMedium: 5, // Max medium vulnerabilities before build fails
                countLow: 10, // Max low vulnerabilities before build fails

                // EPSS (Exploit Prediction Scoring System) settings
                isEpssThresholdEnabled: false, // Enable/disable EPSS-based failure threshold
                epssThreshold: 0.7, // EPSS score threshold (0.0 to 1.0)

                // NEW FEATURE: CVE Suppression - ignore specific false positives
                isSuppressedCveEnabled: false, // Enable CVE suppression feature
                suppressedCveList: '', // Comma-separated list of CVEs to ignore in thresholds

                // NEW FEATURE: Auto-Fail CVEs - always fail on critical security issues  
                isAutoFailCveEnabled: false, // Enable auto-fail CVE feature
                autoFailCveList: '' // Comma-separated list of CVEs that always fail build
                ])
            }
        }
    }
}

外掛程式包含管理安全漏洞的功能。

隱藏的 CVE 清單

掃描偶爾可以偵測非實際威脅的漏洞。若要防止這些誤報停止您的建置，您可以將它們新增至隱藏的清單。

isSuppressedCveEnabled: true,
suppressedCveList: 'CVE-2023-1234,CVE-2023-5678'
           

檢查組建是否應失敗時，這會忽略特定 CVEs。只有在處理禁止清單時，才應該將誤報新增至禁止清單。將這些漏洞新增至隱藏清單後，CVEs 仍會出現在您的安全報告中，但不會導致建置失敗。

自動失敗 CVE 清單

對於重大安全漏洞，您可以建立永遠導致建置失敗的清單。

isAutoFailCveEnabled: true,
autoFailCveList: 'CVE-2024-9999'
           

無論您啟用了哪些設定，這一律會導致您的建置失敗。您應該僅為不應部署的高優先順序安全問題建立此清單。該清單會覆寫所有其他閾值設定，以實現最大安全性。

步驟 7. 檢視您的 Amazon Inspector 漏洞報告

疑難排解

以下是使用適用於 的 Amazon Inspector Scan 外掛程式時可能遇到的常見錯誤Jenkins。

無法載入登入資料或 sts 例外狀況錯誤

錯誤：

InstanceProfileCredentialsProvider(): Failed to load credentials or sts exception.

還原

aws_secret_access_key 為 AWS 您的帳戶取得 aws_access_key_id和 。在 aws_secret_access_key中設定 aws_access_key_id和 ~/.aws/credentials。

無法從 tarball、本機或遠端來源載入映像

錯誤：

2024/10/16 02:25:17 [ImageDownloadFailed]: failed to load image from tarball, local, or remote sources.

解決方法：

驗證下列項目；

Inspector-sbomgen 路徑錯誤

錯誤：

Exception:com.amazon.inspector.jenkins.amazoninspectorbuildstep.exception.SbomgenNotFoundException: There was an issue running inspector-sbomgen, is /opt/inspector/inspector-sbomgen the correct path?

解決方法：

完成下列程序以解決問題。