تكوين ملحق Microsoft Security DevOps Azure DevOps

• مطلوب امتيازات مسؤول مجموعة المشاريع لمؤسسة Azure DevOps لتثبيت الملحق.

إذا لم يكن لديك حق الوصول لتثبيت الملحق، فيجب عليك طلب الوصول من مسؤول مؤسسة Azure DevOps أثناء عملية التثبيت.

لتكوين ملحق Microsoft Security DevOps Azure DevOps:

1. قم بتسجيل الدخول إلى Azure DevOps.

2. انتقل إلى ملحقات إدارة حقيبة>التسوق.

   

3. حدد مشترك.

   ملاحظة

   إذا قمت بالفعل بتثبيت ملحق Microsoft Security DevOps، إدراجه في علامة التبويب مثبت.

4. حدد Microsoft Security DevOps.

   

5. حدد تثبيت.

6. حدد المؤسسة المناسبة من القائمة المنسدلة.

7. حدد تثبيت.

8. حدد متابعة إلى المؤسسة.

لتكوين البنية الأساسية لبرنامج ربط العمليات التجارية باستخدام YAML:

1. تسجيل الدخول إلى Azure DevOps

2. حدد مشروعك.

3. انتقل إلى Pipelines

4. حدد New pipeline.

   

5. حدد Azure Repos Git.

   

6. حدد المستودع ذي الصلة.

   

7. حدد "Starter pipeline".

   

8. الصق YAML التالي في البنية الأساسية لبرنامج ربط العمليات التجارية:

   # Starter pipeline
   # Start with a minimal pipeline that you can customize to build and deploy your code.
   # Add steps that build, run tests, deploy, and more:
   # https://aka.ms/yaml
   trigger: none
   pool:
     # ubuntu-latest also supported.
     vmImage: 'windows-latest'
   steps:
   - task: MicrosoftSecurityDevOps@1
     displayName: 'Microsoft Security DevOps'
     # inputs:    
       # config: string. Optional. A file path to an MSDO configuration file ('*.gdnconfig'). Vist the MSDO GitHub wiki linked below for additional configuration instructions
       # policy: 'azuredevops' | 'microsoft' | 'none'. Optional. The name of a well-known Microsoft policy to determine the tools/checks to run. If no configuration file or list of tools is provided, the policy may instruct MSDO which tools to run. Default: azuredevops.
       # categories: string. Optional. A comma-separated list of analyzer categories to run. Values: 'code', 'artifacts', 'IaC', 'containers'. Example: 'IaC, containers'. Defaults to all.
       # languages: string. Optional. A comma-separated list of languages to analyze. Example: 'javascript,typescript'. Defaults to all.
       # tools: string. Optional. A comma-separated list of analyzer tools to run. Values: 'bandit', 'binskim', 'checkov', 'eslint', 'templateanalyzer', 'terrascan', 'trivy'. Example 'templateanalyzer, trivy'
       # break: boolean. Optional. If true, will fail this build step if any high severity level results are found. Default: false.
       # publish: boolean. Optional. If true, will publish the output SARIF results file to the chosen pipeline artifact. Default: true.
       # artifactName: string. Optional. The name of the pipeline artifact to publish the SARIF result file to. Default: CodeAnalysisLogs*.
     
   

   ملاحظة

   مطلوب artifactName 'CodeAnalysisLogs' للتكامل مع Defender for Cloud. للحصول على خيارات تكوين أداة إضافية ومتغيرات البيئة، راجع موقع Microsoft Security DevOps wiki

9. لتثبيت البنية الأساسية لبرنامج ربط العمليات التجارية، حدد حفظ وتشغيل.

   سيتم تشغيل البنية الأساسية لبرنامج ربط العمليات التجارية لبضع دقائق وحفظ النتائج.

   ملاحظة

   قم بتثبيت ملحق SARIF SAST Scans Tab على مؤسسة Azure DevOps لضمان عرض نتائج التحليل التي تم إنشاؤها تلقائيا ضمن علامة التبويب Scans.

بينما يوفر Defender for Cloud MSDO CLI للوظائف الموحدة وعناصر التحكم في النهج عبر مجموعة من محللي الأمان مصدر مفتوح، لديك المرونة لتحميل النتائج من أدوات أمان أخرى تابعة لجهة خارجية قد تكون قمت بتكوينها في مسارات CI/CD إلى Defender for Cloud للسياق الشامل من التعليمات البرمجية إلى السحابة. يجب أن تكون جميع النتائج التي تم تحميلها إلى Defender for Cloud بتنسيق SARIF القياسي.

أولا، تأكد من إلحاق مستودعات Azure DevOps ب Defender for Cloud. بعد إلحاق Defender for Cloud بنجاح، فإنه يراقب باستمرار البيانات الاصطناعية "CodeAnalysisLogs" لإخراج SARIF.

يمكنك استخدام المهمة "PublishBuildArtifacts@1" لضمان نشر إخراج SARIF إلى الأداة الصحيحة. على سبيل المثال، إذا تم إخراج results.sarifمحلل أمان ، يمكنك تكوين المهمة التالية في وظيفتك لضمان تحميل النتائج إلى Defender for Cloud: