ข้อยกเว้นด้านความปลอดภัย
ข้อยกเว้น ทำให้บิลด์ผ่านด่าน Build Security ได้ แม้จะมีผลการสแกนที่นโยบายจะบล็อก ทุกข้อยกเว้นต้องมีเหตุผล วันหมดอายุ และผู้อนุมัติที่ไม่ใช่คนเดียวกับผู้ขอ
ข้อยกเว้นสองแบบ
| แบบ | ครอบคลุม | สิ้นสุดเมื่อ |
|---|---|---|
| บิลด์เดียว | ผลการสแกนหนึ่งรายการในบิลด์เดียว (commit หรือ image digest เดียว) | ถึงวันหมดอายุ บิลด์ถัดไปมีผลการสแกนใหม่ ข้อยกเว้นจึงไม่มีผลกับบิลด์นั้น |
| ปัญหา ข้ามบิลด์ | ปัญหาความปลอดภัย หนึ่งรายการใน repository เดียว ในทุกบิลด์ | ถึงวันหมดอายุ (ไม่เกิน 30 วัน) เมื่อผู้ดูแลเพิกถอน หรือทันทีที่ปัญหาถูกแก้ไข |
ข้อยกเว้นแบบปัญหาจะไม่ครอบคลุม:
- ความลับ ให้เปลี่ยนความลับและลบออกจากโค้ดแทน
- ผลการสแกนที่ รุนแรงกว่า ตอนที่ขอข้อยกเว้น หากปัญหารุนแรงขึ้น ให้ขอใหม่
- ปัญหาเดียวกันใน repository อื่น
การขอข้อยกเว้น
สมาชิกขอได้ เปิดหน้าปัญหา หรือผลการสแกนในแท็บ ความปลอดภัย ของบิลด์ แล้วเลือก ขอข้อยกเว้น Loha จะกรอกขอบเขตให้ คุณเขียนเหตุผลและเลือกวันหมดอายุ แล้วยืนยันรหัสผ่านอีกครั้ง (step-up)
การอนุมัติ
ผู้ดูแลจะเห็นคำขอที่รออยู่ทั้งหมดในหน้า อนุมัติ พร้อมข้อเสนอการคัดกรองปั ญหา ผู้ดูแลอนุมัติหลังยืนยันรหัสผ่านอีกครั้ง (step-up) และอนุมัติคำขอของตัวเองไม่ได้ ปฏิเสธ จะยกเลิกคำขอ
หากปิดการใช้ข้อยกเว้นสำหรับ workspace ของคุณ จะไม่มีใครขอข้อยกเว้นใหม่ได้ แต่ผู้ดูแลยังอนุมัติหรือเพิกถอนคำขอที่รออยู่แล้วได้
ทำไมบิลด์ถูกบล็อก
เมื่อเปิดใช้ข้อยกเว้น แท็บ ความปลอดภัย ของบิลด์จะแสดงผลของด่าน กฎที่ผลการสแกนแต่ละรายการเข้าเงื่อนไข ปัญหาที่เกี่ยวข้อง และข้อยกเว้นที่ทำให้ผ่าน
สิ่งที่ข้อยกเว้นไม่ได้ทำ
ข้อยกเว้นเปลี่ยนเฉพาะการตัดสินของด่าน ไม่ได้ซ่อนผลการสแกน และไม่เปลี่ยนสถานะปัญหา ปัญหาจะยังเปิดอยู่จนกว่าการสแกน branch ที่ติดตามจะไม่พบอีก
การตรวจสอบย้อนหลัง
ทุกคำขอ การอนุมัติ และการเพิกถอน รวมถึงการเพิกถอนอัตโนมัติเมื่อปัญหาถูกแก้ไข จะบันทึกไว้ใน audit log ของ workspace การปฏิเสธจะบันทึกเป็นการเพิกถอน สำหรับข้อยกเว้นแบบปัญหา จะบันทึกไว้ในประวัติของปัญหาด้วย