Dysgu sut i greu cangen yn GitHub yw'r cam cyntaf. Fodd bynnag, mae meistroli sut i uno canghennau yn ddiogel yn GitHub yr un mor hanfodol ar gyfer pob cangen. GitHub llif gwaith. Felly, yn y swydd hon, byddwn yn eich tywys trwy'r broses gyfan, gan ddechrau gyda sut i greu cangen yn GitHub ac yna dangos i chi sut i uno canghennau yn GitHub yn ddiogel. Byddwn hefyd yn trafod sut i ganslo uno os byddwch chi'n dod o hyd i unrhyw broblemau, ac yn olaf, sut y gall Xygeni eich helpu i ddal pob problem cyn iddi gyrraedd eich prif gangen.
Gadewch i ni gerdded drwyddo gam wrth gam.
1. Sut i Greu Cangen yn GitHub yn y Ffordd Gywir
Mae pob llif gwaith diogel yn dechrau pan fyddwch chi'n creu cangen yn GitHub. Mae'n caniatáu i ddatblygwyr ynysu nodweddion, atgyweiriadau neu arbrofion heb effeithio ar y cod cynhyrchu.
I greu cangen yn GitHub:
1. Llywiwch i'ch storfa
2. Cliciwch ar y rhestr ostwng dewis cangen
3. Teipiwch enw eich cangen newydd
4. Cliciwch Creu cangen
O fan hyn, mae eich cangen newydd yn barod i fynd. Gallwch nawr wthio cod, cydweithio ar newidiadau, ac yn y pen draw agor pull requestEr mai gweithred sylfaenol ar GitHub yw hon, mae'n gosod y llwyfan ar gyfer datblygiad diogel.
Yn bwysig, bob tro y byddwch chi'n creu cangen yn GitHub, dylai fod yn rhan o lif gwaith ailadroddus a gwarchodedig.
2. Sganio Pull Requests Yn awtomatig Cyn i Chi Gyfuno
Pan fyddwch chi'n creu cangen yn GitHub ac yn paratoi ar gyfer adolygiad, y cam nesaf yw deall sut i uno canghennau yn GitHub yn ddiogel. Dylai pob gwthiad cangen GitHub sbarduno gwiriadau awtomataidd. Ond cyn uno, mae'n hanfodol i gwirio bod nid yw'r cod yn cyflwyno gwendidau. Un anniogel commit yn gallu datgelu eich cais, leak secrets, neu dorri seilwaith hanfodol.
Mae uno cod i'ch prif gangen yn weithrediad effaith uchel. Heb wiriadau priodol ar waith, gall arwain at ganlyniadau difrifol fel:
- Bregusrwyddau diwrnod sero llithro i mewn i gynhyrchu
- Yn hysbys CVEs a gyflwynwyd trwy becynnau ffynhonnell agored
- Cyfrinachau caled-godio wedi'i wthio i'r storfa
- Camffurfweddiadau seilwaith sy'n gwanhau eich amddiffynfeydd
- Cod maleisus neu wedi'i ymyrryd mynd i mewn trwy ddibyniaethau
Dyma lle mae Xygeni yn gwneud gwahaniaeth gwirioneddol
Trwy ddefnyddio Camau Gweithredu GitHub, gallwch chi sbarduno sganiau Xygeni awtomataidd pryd bynnag y bydd datblygwr yn agor pull request i mewn i gangen warchodedig. Mae cangen warchodedig yn GitHub yn un sy'n gofyn am wiriadau neu gymeradwyaethau penodol cyn caniatáu i newidiadau uno.
Mae Xygeni yn dadansoddi'r gweithredu diweddaraf y pull request llif gwaith i ddilysu ystum diogelwch y newidiadau arfaethedig. Mae hyn yn cynnwys gwirio am materion yn y cod, dibyniaethau, cyfrinachau, a CI/CD ffurfweddiadauNi chaiff y gangen lawn ei hail-sganio, ond defnyddir y canlyniad llif gwaith diweddaraf i orfodi polisïau a rhwystro uno anniogel.
Mae'r sganiau hyn yn dilysu bod y cod yn ddiogel ac yn barod ar gyfer cynhyrchu. Maent yn canfod:
- Bregusrwyddau cod (SAST)
- Pecynnau ffynhonnell agored agored i niwed (SCA)
- Cyfrinachau caled-godio
- IaC camgyfluniadau
- Malware posibl
Integreiddio mae'r gwiriadau cynnar hyn yn sicrhau bob tro rydych chi'n creu cangen yn GitHub ac yn paratoi i uno, rydych chi'n ei wneud gyda gwelededd a rheolaeth lawn.
Dyma drefniant symlach:
on: pull_request: branches: [ main ] jobs: xygeni-scan: runs-on: ubuntu-latest steps: - name: Checkout uses: actions/checkout@v3 - name: Xygeni Scanner uses: xygeni/xygeni-action@3.2.0 with: token: ${{ secrets.XYGENI_TOKEN }}3. Rhwystro Cyfuniadau Ansicr gyda Guardrails
Guardrails, gwnewch yn siŵr, pan fyddwch chi'n creu cangen yn GitHub neu'n ceisio sut i uno canghennau yn GitHub, mai dim ond newidiadau diogel sy'n cyrraedd gosodiad eich prif gangen GitHub. Mae Xygeni yn rhoi i chi rheolaeth lwyr dros yr hyn sy'n cael ei unoGallwch chi ddiffinio cyncisrheolau wedi'u teilwra i'ch polisïau diogelwch a'ch goddefgarwch risg. Er enghraifft:
- Blocio os yw'n gyfrinach hanfodol wedi'i ganfod (e.e., allweddi AWS, tocynnau)
- Methu'r adeiladwaith os risg uchel newydd pecyn ffynhonnell agored yn cael ei gyflwyno
- Gwrthod pull requests bod addasu llwybrau sensitif fel
.github/workflows/,infrastructure/, neusecrets.env - Atal uno os ailgyflwyno israddio yn hysbys gwendidau
- Bloc CI/CD newidiadau ffurfweddu oni bai ei fod wedi'i labelu'n iawn
- Stopiwch uno os SAST yn canfod uchel neu materion critigol
- Gwneud cais yn fwy llym Guardrails ar ganghennau cynhyrchu gan gadw hyblygrwydd mewn datblygiad
Mae'r rheolau hyn yn gweithredu fel porthorion awtomataidd. Maent yn helpu eich tîm i uno dim ond yr hyn sy'n ddiogel, dim syrpreisys, dim adolygiadau â llaw, dim diffodd tân munud olaf.
Enghraifft o reol Rheiliau Gwarchod:
guardrail block_critical_secrets on secrets when severity = critical then @fail()Adborth Gweledol yn y Dashboard
Er mwyn sicrhau gwelededd llawn, mae Xygeni yn dangos canlyniad yr asesiad diweddaraf o statws y Rheiliau Gwarchod.
- Yn gyntaf oll, mae eicon gwyrdd yn golygu bod yr holl bolisïau wedi'u pasio.
- Mewn cyferbyniad, mae eicon coch yn arwydd bod un neu fwy o amodau'r Rheilffordd Gwarchod wedi'u torri.
O ganlyniad, mae datblygwyr a thimau diogelwch yn cael cipolwg ar unwaith ar pam y cafodd uno ei rwystro, heb ymchwilio i logiau CI.
Enghraifft Go Iawn o'r Dashboard:
Er enghraifft, dyweder nad oes gan ystorfa ganghennau gwarchodedig, camffurfweddiad cyffredin sy'n caniatáu i ddatblygwyr wthio commits heb wiriad. Mae hynny'n risg ddifrifol.
Mae Xygeni yn canfod ac yn nodi hyn yn awtomatig fel wedi'i lofnodi_commits mater o dan y CI/CD Categori. Mae'r dashboard uchafbwyntiau:
- Difrifoldeb: uchel
- math: Llofnodwyd Commits
- Eglurhad: Nid oes gan y storfa unrhyw ganghennau gwarchodedig
- Statws: agored
Felly, gyda'r adborth cyfoethog o ran cyd-destun hwn, gall timau nodi'r risg yn gyflym, deall ei heffaith, a chymryd camau cywirol, a hynny i gyd o UI Xygeni.
Addasu Ymddygiad Gorfodi
Rydych chi bob amser mewn rheolaeth. Dewiswch pa mor llym Guardrails dylai fod:
--fail-on=critical: Uno blociau ar ganfyddiadau difrifol yn unig--never-fail: Run Guardrails mewn modd rhedeg sych i brofi polisïau cyn eu gorfodi
Felly'r tro nesaf y byddwch chi'n creu cangen yn GitHub, eich Guardrails eisoes yno, yn amddiffyn eich pipeline a gorfodi eich polisïau yn awtomatig.
Sut Ydw i'n Gwybod a yw Ap GitHub yn Ddiogel?
Dysgwch sut i werthuso Apiau GitHub cyn eu gosod.
4. Canslo Cyfuno yn GitHub yn Awtomatig Pan Gwelir Risgiau
Os canfyddir risgiau, caiff y cyfuniad ei ganslo. Mae'r diogelwch hwn yn amddiffyn pob prosiect cangen GitHub ac yn gorfodi arferion gorau ar sut i gyfuno canghennau yn GitHub.
Mae Xygeni yn integreiddio'n uniongyrchol i UI GitHub. Pan ganfyddir risg:
- Mae GitHub yn dangos bod y gwiriad wedi methu
- Mae amddiffyniadau GitHub yn atal y cyfuniad
- Mae'r ciw uno yn hepgor cod ansicr
Boed yn gyfrinach, yn CVE, neu'n beryglus CI/CD patrwm, mae'r canlyniad yr un peth: y mae'r uno wedi'i ganslo yn GitHub a'i nodi i'w adolygu.
Gallwch hefyd weld canlyniadau manwl yn Xygeni:
- Statws diogelwch pob cangen
- Pam y cafodd uno ei rwystro
- Hanes sgan cyflawn
- Statws y rheiliau gwarchod a ddangosir drwy eiconau gwyrdd (pasio) neu goch (methu) ar dudalen y prosiect
Mae'r adborth gweledol hwn yn ei gwneud hi'n hawdd i ddatblygwyr a thimau diogelwch weithredu'n hyderus. A phan fydd angen cyd-destun dyfnach arnoch, mae pob problem yn cysylltu â dogfennaeth gyda difrifoldeb, tagiau, lleoliad, a chanllawiau lliniaru.
Uno Tldr Dim ond yr Hyn Sy'n Ddiogel
I grynhoi, dyma sut i uno'n ddiogel ar ôl i chi greu cangen yn GitHub:
- Creu cangen yn GitHub drwy'r rhyngwyneb defnyddiwr
- Sbarduno sganiau awtomatig gyda phob pull request gyda Xygeni
- Rhwystro uno ansicr gan ddefnyddio Guardrails
- Defnyddiwch bolisïau archwilio ochr y gweinydd ar gyfer rheolaeth ddyfnach
- Canslo uno yn GitHub pan fydd rhywbeth yn methu
- Delweddu'r holl ganlyniadau yn Xygeni's dashboard
Am arferion gorau ychwanegol ar ddiogelu ystorfeydd, darllenwch ein Cwestiynau Cyffredin Diogelwch GitHub: Yr Hyn y Dylai Pob Datblygwr Ei Wybod.
Er bod uno yn weithrediad sylfaenol, mae ei wneud yn ddiogel yn gofyn am welededd ac awtomeiddio go iawn. Gyda Xygeni, nid ydych chi'n uno cod yn unig, rydych chi'n uno ymddiriedaeth.
Amddiffynwch Bob Cangen GitHub yn Hyderus
Un mater a anwybyddir mewn pull request gall beryglu eich prif gangen. Yn aml, mae sganwyr traddodiadol yn rhedeg yn rhy hwyr, yn methu â gorfodi polisïau ystyrlon.
Dyna pam mae amddiffyn eich canghennau GitHub yn cymryd mwy na sganio yn unig.
Mae Xygeni yn darparu gorfodi go iawn. Pan fydd pull request yn targedu cangen warchodedig, mae Xygeni yn dadansoddi gweithrediad diweddaraf eich CI/CD llif gwaith. Nid yw'n ail-sganio'r gangen gyfan. Yn lle hynny, mae'n gwerthuso'r canlyniadau diweddaraf i wirio am broblemau diogelwch mewn cod, dibyniaethau, cyfrinachau, a chyfluniadau llif gwaith. Nid dim ond rhybuddio rydych chi. Rydych chi wedi'ch amddiffyn.
Beth sy'n ei gwneud yn wahanol:
- Dilysu cyd-destun llawn: Guardrails gorfodi polisi gan ddefnyddio cyd-destun cyfoethog fel difrifoldeb, ecsbloetiadwyedd, a metadata cangen.
- Integreiddio GitHub adeiledig: Mae popeth o sganio i orfodi yn rhedeg yn frodorol o fewn eich llifau gwaith GitHub, heb yr angen am sgriptiau personol na chod glud.
- Archwiliadau ochr y gweinydd: Ochr y gweinydd Guardrails dilysu'r canlyniadau ar ôl eu lanlwytho, gan ychwanegu ail haen o reolaeth y tu allan i'r pipeline.
Yn lle dibynnu ar eich gosodiad CI i ddal popeth, mae Xygeni yn defnyddio de awtomataidd, sy'n seiliedig ar bolisi.cisïonau cyn i unrhyw beth gyrraedd eich prif gangen.
Er bod uno yn weithrediad sylfaenol, mae ei wneud yn ddiogel yn gofyn am welededd ac awtomeiddio go iawn. Gyda Xygeni, nid yn unig rydych chi'n amddiffyn eich repos, rydych chi'n amddiffyn pob cangen GitHub yn hyderus.
