Cómo conectar el Trust Agent a su herramienta de gestión del código fuente

Ofrecemos múltiples enfoques para conectar el SCW Trust Agent a su herramienta de gestión de código fuente basada en Git. Cada enfoque tiene sus ventajas y limitaciones, y podemos ayudarle a tomar una decisión basada en el entorno y las políticas específicas de su organización.

Todos los enfoques resumen únicamente los metadatos de confirmación, incluidos:

• Nombre del autor y del autor de la confirmación
• Dirección de correo electrónico del autor y del autor de la confirmación
• Fecha y hora de la confirmación
• Lista de lenguajes de programación asociados a la confirmación basada en los archivos modificados

El Agente de confianza de SCW almacena estos datos resumidos para generar paneles e informes y realizar acciones de automatización, como optimizar las rutas de aprendizaje de Secure Code Warrior o aplicar la política configurada.

En las instalaciones

Este enfoque proporciona una combinación de flexibilidad y mitigación de riesgos mediante la ejecución de un contenedor dentro de su entorno configurado y gestionado por su equipo. Esto compensa el riesgo de tener una plataforma de terceros conectada directamente a su herramienta de gestión de código fuente.

El contenedor local es configurable y puede funcionar tanto con plataformas de gestión del código fuente basadas en la nube como con plataformas locales. El contenedor local puede ejecutarse con una frecuencia regular para conectarse automáticamente a los repositorios designados y enviar datos resumidos al agente de confianza de SCW. En ningún momento el código fuente de su organización, o las claves para acceder al código fuente de su organización, abandonan su entorno bajo este enfoque.

Aplicación GitHub

Este enfoque es específico para organizaciones que utilizan GitHub Cloud o GitHub Enterprise Cloud como su herramienta de gestión de código fuente. Implica un proceso sencillo para instalar una aplicación de GitHub que funciona en el marco del ecosistema de GitHub y se considera el método más sencillo en general. Sin embargo, la aplicación requiere permisos de lectura para acceder a los contenidos del repositorio con el fin de acceder a los datos de confirmación, aunque Secure Code Warrior sólo lee y almacena los metadatos de confirmación resumidos.

Carga manual

Este método no requiere una integración directa con su herramienta de gestión de código fuente basada en Git y se basa en un proceso manual ad hoc para exportar metadatos de confirmación resumidos para cargarlos en el Agente de confianza de SCW. Como resultado, es el método preferido para probar el Agente de confianza de SCW, pero sólo da como resultado una instantánea puntual y no es escalable para un gran número de repositorios.

El proceso de carga manual implica la clonación de los repositorios seleccionados en el sistema local y la ejecución de un script de shell proporcionado para generar los resúmenes de confirmaciones que se pueden cargar a través de la interfaz web del Agente de confianza de SCW. Puede ejecutarse manualmente con la frecuencia que elija. En ningún momento el código fuente de su organización, o las claves para acceder al código fuente de su organización, abandonan su entorno bajo este enfoque.

SUBDIRS=$(find . -type d -name ".git" -exec dirname {} \;)
BASEDIR=$(pwd)
para SUBDIR en $SUBDIRS
hacer
  cd $SUBDIR

  NOMBRE_PROYECTO=$(nombre_base -s .git `git config --get remoto.origen.url`)

  echo "Exportando datos de commit para $SUBDIR"
  git log --name-only --since="hace 1 año" --no-merges --pretty=format:'- hash: %H
  committerDate: %cI
  authorDate: %aI
  authorEmail: %ae
  authorName: %an
  committerEmail: %ce
  committerName: %cn
  modifiedFileExtensions:' | sed -e '/^[^ -]/ s/.*\.\(.*\)/ - \1/' | sed -e '/^[^ -]/d' | sed '$!N; /^\(.*\)\n\1$/!P; D'  $BASEDIR/scw_gci_$PROJECT_NAME.yaml

  cd $BASEDIR
hecho