AdvancedSecurity-Codeql-Analyze@1 – Erweiterte Sicherheit: Ausführen der CodeQL-Analyse v1-Aufgabe

Artikel
07/02/2024

Analysiert den Code in einem Azure Repos Git-Repository, um Sicherheitsrisiken und Codierungsfehler zu finden. Für das zu überprüfende Repository muss GitHub Advanced Security für Azure DevOps aktiviert sein.

Syntax

# Advanced Security Perform CodeQL analysis v1
# Finalizes the CodeQL database and runs the analysis queries.
- task: AdvancedSecurity-Codeql-Analyze@1
  inputs:
    #WaitForProcessing: false # boolean. Enable Wait for Processing. Default: false.
    #WaitForProcessingInterval: '5' # string. Optional. Use when WaitForProcessing = true. Wait for Processing Time Interval. Default: 5.
    #WaitForProcessingTimeout: '120' # string. Optional. Use when WaitForProcessing = true. Wait for Processing Timeout. Default: 120.

Eingaben

WaitForProcessing - Aktivieren von Warten auf Verarbeitung
boolean. Standardwert. false.

Warten Sie, bis Advanced Security die veröffentlichte SARIF-Datei verarbeitet, bevor Sie den Vorgang abschließen.

WaitForProcessingInterval - Warten auf das Verarbeitungszeitintervall
string. Optional. Verwenden Sie , wenn WaitForProcessing = true. Standardwert. 5.

Zeit in Sekunden, um zwischen jedem Aufruf von Advanced Security zu warten, um die SARIF-Verarbeitung status zu überprüfen.

WaitForProcessingTimeout - Warten auf Verarbeitungstimeout
string. Optional. Verwenden Sie , wenn WaitForProcessing = true. Standardwert. 120.

Zeit in Sekunden, um auf die Verarbeitung der SARIF-Datei durch Advanced Security zu warten, bevor der Vorgang abgeschlossen ist.

Optionen für die Vorgangskontrolle

Alle Vorgänge verfügen zusätzlich zu ihren Eingaben über Steuerungsoptionen. Weitere Informationen finden Sie unter Steuerungsoptionen und allgemeine Aufgabeneigenschaften.

Ausgabevariablen

Keine.

Hinweise

Wichtig

Diese Aufgabe wird nur mit Azure Repos Git-Repositorys unterstützt.

Voraussetzungen

Damit die Aufgabe erfolgreich abgeschlossen und die Registerkarte Erweiterte Sicherheit für das gescannte Repository aufgefüllt werden kann, muss die erweiterte Sicherheit für dieses Repository aktiviert sein, bevor ein Build mit der enthaltenen Abhängigkeitsüberprüfungsaufgabe ausgeführt wird.

Die Aufgabe kann sowohl auf selbstgehosteten Agents als auch auf von Microsoft gehosteten Agents ausgeführt werden. Informationen zu selbstgehosteten Agents finden Sie unter zusätzliche Anweisungen zum Einrichten des selbstgehosteten Agents.

Die Pipeline muss die Tasks in der folgenden Reihenfolge aufrufen.

Initialisieren von CodeQL
AutoBuild (oder Ihre benutzerdefinierten Buildtasks)
Ausführen der CodeQL-Analyse

Die AutoBuild-Aufgabe ist optional und kann durch Ihre benutzerdefinierten Buildtasks ersetzt werden. Entweder AutoBuild oder Ihre benutzerdefinierten Buildtasks müssen ausgeführt werden, damit Ihr Projekt analysiert werden kann.

Der Analysetask muss nach der Initialisierungsaufgabe für den erfolgreichen Abschluss angezeigt werden.

# Initialize CodeQL database 
- task: AdvancedSecurity-Codeql-Init@1
  inputs: 
    languages: 'csharp' 
  displayName: 'Advanced Security Initialize CodeQL' 

# Build project using Autobuild or your own custom build steps 
- task: AdvancedSecurity-Codeql-Autobuild@1
  displayName: 'Advanced Security Autobuild' 

# Run analysis 
- task: AdvancedSecurity-Codeql-Analyze@1 
  displayName: 'Advanced Security Code Scanning'

Anforderungen

Anforderung	BESCHREIBUNG
Pipelinetypen	YAML, Klassischer Build, klassisches Release
Wird ausgeführt auf	Agent, DeploymentGroup
Forderungen	Keine
Capabilities	Diese Aufgabe erfüllt keine Anforderungen an nachfolgende Aufgaben im Auftrag.
Befehlseinschränkungen	Any
Setzbare Variablen	Any
Agent-Version	Alle unterstützten Agent-Versionen.
Aufgabenkategorie	Entwickeln

Weitere Informationen

Codescan für GitHub Advanced Security

Freigeben über