工件策略检查

项目
07/20/2023

Azure DevOps Services

在部署到关键环境（如生产环境）之前，会强制实施项目策略。这些策略针对给定管道运行中的所有可部署项目进行评估，如果项目不符合要求，则阻止部署。添加检查以评估 Artifact 需要配置自定义策略。本指南介绍如何创建自定义策略。

注意

目前，支持的项目类型适用于容器映像和 Kubernetes 环境

先决条件

使用 Rego 定义易于读取和写入的策略。

熟悉 Rego 查询语言。基本知识会做到的。

为了支持 JSON 等结构化文档模型，Rego 扩展了 Datalog。 Rego 查询是针对 OPA 中存储的数据的断言。这些查询可用于定义策略，以枚举违反系统预期状态的数据实例。

创建自定义策略

下面是共享的示例策略。根据要求，可以生成自己的策略集。

检查特定项目/管道

此策略检查映像是否由 Azure Pipelines 和 Pipeline-foo 生成。为此，管道定义应将名称字段重写为如下所示的内容： AzureDevOps_$ (BuildDefinitionName) _$ (Date：yyyyMMmdd) $ (Rev：.r) 。在此处详细了解如何命名管道运行。

allowedBuilder := "AzureDevOps_pipeline-foo"

checkBuilder[errors] {
    trace("Check if images are built by Azure Pipelines")
    resourceUri := values[index].build.resourceUri    
    image := fetchImage(resourceUri)
    builder := values[index].build.build.provenance.builderVersion
    trace(sprintf("%s: builder", [builder]))
    not startswith(builder, "allowedBuilder")
    errors := sprintf("%s: image not built by Azure Pipeline [%s]", [image,builder])
}

fetchRegistry(uri) = reg {
    out := regex.find_n("//.*/", uri, 1)
    reg = trim(out[0], "/")
}

fetchImage(uri) = img {
    out := regex.find_n("/.*@", uri, 1)
    img := trim(out[0], "/@")
}

检查允许的注册表

此策略检查映像是否仅来自允许的注册表。

allowlist = {
 "gcr.io/myrepo",
 "raireg1.azurecr.io"
}

checkregistries[errors] {
    trace(sprintf("Allowed registries: %s", [concat(", ", allowlist)]))
    resourceUri := values[index].image.resourceUri
    registry := fetchRegistry(resourceUri)
    image := fetchImage(resourceUri)
    not allowlist[registry]
    errors := sprintf("%s: source registry not permitted", [image]) 
}

fetchRegistry(uri) = reg {
    out := regex.find_n("//.*/", uri, 1)
    reg = trim(out[0], "/")
}

fetchImage(uri) = img {
    out := regex.find_n("/.*@", uri, 1)
    img := trim(out[0], "/@")
}

检查禁止的端口

此策略检查容器映像中公开的任何禁止端口。

forbiddenPorts = {
    "80",
    "22"
}

checkExposedPorts[errors] {
    trace(sprintf("Checking for forbidden exposed ports: %s", [concat(", ", forbiddenPorts)]))
    layerInfos := values[index].image.image.layerInfo
    layerInfos[x].directive == "EXPOSE"
    resourceUri := values[index].image.resourceUri
    image := fetchImage(resourceUri)
    ports := layerInfos[x].arguments
    trace(sprintf("exposed ports: %s", [ports]))
    forbiddenPorts[ports]
    errors := sprintf("%s: image exposes forbidden port %s", [image,ports])
}

fetchRegistry(uri) = reg {
    out := regex.find_n("//.*/", uri, 1)
    reg = trim(out[0], "/")
}

fetchImage(uri) = img {
    out := regex.find_n("/.*@", uri, 1)
    img := trim(out[0], "/@")
}

检查以前的部署

此策略检查映像是否已预先部署到一个或多个环境，然后再部署到配置了 Check 的特定环境/资源。

predeployedEnvironments = {
    "env/resource1",
    "env2/resource3"
}

checkDeployedEnvironments[errors] {
    trace(sprintf("Checking if the image has been pre-deployed to one of: [%s]", [concat(", ", predeployedEnvironments)]))
    deployments := values[index].deployment
    deployedAddress := deployments[i].deployment.address
    trace(sprintf("deployed to : %s",[deployedAddress]))
    resourceUri := deployments[i].resourceUri
    image := fetchImage(resourceUri)
    not predeployedEnvironments[deployedAddress]
    trace(sprintf("%s: fails pre-deployed environment condition. found %s", [image,deployedAddress]))
    errors := sprintf("image %s fails pre-deployed environment condition. found %s", [image,deployedAddress])
}

fetchRegistry(uri) = reg {
    out := regex.find_n("//.*/", uri, 1)
    reg = trim(out[0], "/")
}

fetchImage(uri) = img {
    out := regex.find_n("/.*@", uri, 1)
    img := trim(out[0], "/@")
}

通过