통합 구성

이전 단계에서 식별된 대로 Git 또는 CI/CD 통합을 통합하십시오.

Git 리포지토리

Git 통합의 경우 Snyk은 다음과 같은 설정을 제안합니다.

초기에 게이팅(gating)을 비활성화하려면 프로젝트가 Snyk에 온보딩될 때 자동으로 구성되는 일일 모니터링을 사용하고, 구성 설정에서 다음 PR/MR 검사를 비활성화하십시오.

• Snyk이 제안할 수 있는 자동 수정

  • 자동 수정 PR

  • 자동 종속성 업그레이드 PR

  • Snyk 취약점 패치

• 다음을 위한 풀 리퀘스트 상태 확인

  • 오픈소스 보안 및 라이선스

  • 코드 분석

CI/CD (빌드 파이프라인)

파이프라인의 단계로 빌드에 Snyk을 추가하여 취약한 애플리케이션 또는 구성 요소(레지스트리)의 배포를 방지함으로써 애플리케이션을 안전하게 유지하십시오.

CLI는 다음을 제공합니다.

• 여러 특정 패키지 관리자(예: Scala, Gradle, GO)에 대한 더 나은 종속성 해결.

• 추가 통합을 구성할 필요 없이 프라이빗 패키지 지원 (빌드 환경이 프라이빗 패키지에 액세스할 수 있는 경우).

• 빌드를 중단하고 Snyk에 보고하거나 Snyk에만 보고하여 프로덕션으로 푸시되는 구성 요소에 대한 가시성을 제공합니다.

여러 CI/CD 통합을 사용할 수 있으며, 실행 중인 테스트에서 더 많은 유연성을 갖기 위해 파이프라인의 일부로 Snyk CLI를 사용할 수도 있습니다.

초기 단계에서 Snyk은 발견된 문제를 볼 수 있도록 Snyk으로 정보를 가져오는 "monitor" 기능을 사용할 것을 권장합니다(이미 소스 제어 통합을 사용하여 이를 달성하고 있지 않은 경우). 나중에 새로운 취약점이 추가되는 것을 게이팅/차단하고 싶을 때 "test" 기능을 도입할 수 있습니다. 처음에는 치명적인 문제에 대해 빌드를 실패시키고 시간이 지남에 따라 실패 기준을 점진적으로 조정하십시오.

snyk iac test --report의 경우, 문제를 발견하면 빌드가 0이 아닌 응답 코드로 중지될 수 있습니다.

수동적으로 테스트하고 싶은 경우, --report 인수를 포함하려면 빌드 단계를 항상 계속하도록 설정하거나 "or true"에 해당하는 논리를 연결하는 대안(예: snyk iac test --report || true)이 필요합니다. 정확한 구문은 CLI가 실행되는 에코시스템에 따라 다릅니다.

파이프라인을 구성할 때 고급 필터링을 위해 snyk-filter와 같은 인기 있는 플러그인을 사용할 수 있습니다.

API 액세스가 필요한 일부 플러그인은 팀 플랜에서 사용할 수 없을 수도 있습니다. API 액세스는 Snyk 엔터프라이즈 플랜에서만 제공되기 때문입니다.

파이프라인 통합 데모를 보려면 Snyk-Labs를 참조하십시오.