Konfigurace rozšíření Microsoft Security DevOps Azure DevOps

• K instalaci rozšíření se vyžadují oprávnění kolekce projektů Správa astrator pro organizaci Azure DevOps.

Pokud nemáte přístup k instalaci rozšíření, musíte během procesu instalace požádat o přístup od správce vaší organizace Azure DevOps.

Konfigurace rozšíření Microsoft Security DevOps Azure DevOps:

1. Přihlaste se ke službě Azure DevOps.

2. Přejděte na rozšíření Správa nákupních bagů>.

   

3. Vyberte Sdílené.

   Poznámka:

   Pokud jste už nainstalovali rozšíření Microsoft Security DevOps, bude uvedené na kartě Nainstalované.

4. Vyberte Microsoft Security DevOps.

   

5. Vyberte volbu Instalovat.

6. V rozevírací nabídce vyberte příslušnou organizaci.

7. Vyberte volbu Instalovat.

8. Vyberte Pokračovat do organizace.

Konfigurace kanálu pomocí YAML:

1. Přihlášení k Azure DevOps

2. Vyberte projekt.

3. Přechod na Kanály

4. Vyberte New pipeline (Nový kanál).

   

5. Vyberte Git Azure Repos.

   

6. Vyberte příslušné úložiště.

   

7. Vyberte počáteční kanál.

   

8. Do kanálu vložte následující YAML:

   # Starter pipeline
   # Start with a minimal pipeline that you can customize to build and deploy your code.
   # Add steps that build, run tests, deploy, and more:
   # https://aka.ms/yaml
   trigger: none
   pool:
     # ubuntu-latest also supported.
     vmImage: 'windows-latest'
   steps:
   - task: MicrosoftSecurityDevOps@1
     displayName: 'Microsoft Security DevOps'
     # inputs:    
       # config: string. Optional. A file path to an MSDO configuration file ('*.gdnconfig'). Vist the MSDO GitHub wiki linked below for additional configuration instructions
       # policy: 'azuredevops' | 'microsoft' | 'none'. Optional. The name of a well-known Microsoft policy to determine the tools/checks to run. If no configuration file or list of tools is provided, the policy may instruct MSDO which tools to run. Default: azuredevops.
       # categories: string. Optional. A comma-separated list of analyzer categories to run. Values: 'code', 'artifacts', 'IaC', 'containers'. Example: 'IaC, containers'. Defaults to all.
       # languages: string. Optional. A comma-separated list of languages to analyze. Example: 'javascript,typescript'. Defaults to all.
       # tools: string. Optional. A comma-separated list of analyzer tools to run. Values: 'bandit', 'binskim', 'checkov', 'eslint', 'templateanalyzer', 'terrascan', 'trivy'.
       # break: boolean. Optional. If true, will fail this build step if any high severity level results are found. Default: false.
       # publish: boolean. Optional. If true, will publish the output SARIF results file to the chosen pipeline artifact. Default: true.
       # artifactName: string. Optional. The name of the pipeline artifact to publish the SARIF result file to. Default: CodeAnalysisLogs*.
     
   

   Poznámka:

   Pro integraci s Defenderem pro cloud se vyžaduje artifactName CodeAnalysisLogs. Další možnosti konfigurace nástrojů a proměnné prostředí najdete na wikiwebu Microsoft Security DevOps.

9. Pokud chcete kanál potvrdit, vyberte Uložit a spustit.

   Kanál se spustí několik minut a výsledky se uloží.

   Poznámka:

   Nainstalujte rozšíření SARIF SAST Scans Tab v organizaci Azure DevOps, abyste zajistili, že se vygenerované výsledky analýzy automaticky zobrazí na kartě Kontroly.

I když Defender pro cloud poskytuje rozhraní příkazového řádku MSDO pro standardizované funkce a řízení zásad v rámci sady opensourcových analyzátorů zabezpečení, máte možnost nahrát výsledky z jiných nástrojů zabezpečení třetích stran, které jste možná nakonfigurovali v kanálech CI/CD pro Defender for Cloud pro komplexní kontext kódování-cloud. Všechny výsledky nahrané do Defenderu pro cloud musí být ve standardním formátu SARIF.

Nejprve se ujistěte, že jsou vaše úložiště Azure DevOps nasazená v defenderu pro cloud. Jakmile úspěšně nasadíte Defender for Cloud, bude nepřetržitě monitorovat artefakt CodeAnalysisLogs pro výstup SARIF.

Úlohu PublishBuildArtifacts@1 můžete použít k zajištění publikování výstupu SARIF do správného artefaktu. Pokud například analyzátor zabezpečení vypíše results.sarifvýstup, můžete ve své úloze nakonfigurovat následující úlohu, abyste zajistili, že se výsledky nahrají do Defenderu pro cloud: