Intégrer GitLab avec BoostSecurity¶

BoostSecurity offre une intégration avec GitLab qui vous permettra d'inventorier vos dépôts GitLab, de provisionner des scanners de sécurité de manière pratique sur ces dépôts, et de visualiser les données GitLab dans le tableau de bord Boost, vous offrant une visibilité complète sur l'activité GitLab de votre organisation.

Prérequis¶

Pour installer l'intégration BoostSecurity GitLab, préparez ce qui suit :

Créez un Jeton d'Accès GitLab avec la portée api sélectionnée. Ce jeton d'accès peut être :
- Un Jeton d'Accès Personnel
- Un Jeton d'Accès de Groupe
- Un Jeton de Compte de Service
Dans tous les cas, le jeton doit avoir la portée api activée.
- Il est conseillé d'utiliser un compte GitLab protégé et non humain (tel qu'un compte de service ou un utilisateur bot) pour générer le jeton. Utiliser un jeton lié à un compte personnel augmente le risque que l'intégration échoue si cet utilisateur est désengagé ou supprimé en raison de changements internes.
- L'entité à laquelle le jeton d'accès est attribué devra avoir des permissions Propriétaire pour les dépôts associés aux groupes GitLab qui sont ingérés dans Boost.
Créez un dépôt boost dans le SCM de votre organisation, qui devrait contenir un fichier README.md. Pour ce faire, allez dans l'organisation GitLab où vous avez installé BoostSecurity et créez un nouveau projet boost contenant un fichier Readme.
- Assurez-vous qu'au moins les propriétaires du dépôt boost peuvent définir des variables de pipeline. Dans GitLab Settings --> CI/CD --> Variables, définissez le rôle minimal autorisé à utiliser les variables de pipeline sur le rôle owner.

Installer l'intégration BoostSecurity GitLab¶

Naviguez vers la page des Intégrations.
Cliquez sur le bouton Installer qui se trouve sur la carte d'intégration GitLab sous la section Disponible.
Un modal apparaîtra, demandant le Jeton d'Accès GitLab. Fournissez le Jeton d'Accès et cliquez sur Suivant.
Sélectionnez le groupe GitLab pour lequel vous souhaitez ingérer des dépôts dans Boost. Il est conseillé de sélectionner le groupe racine, car cela ingérera tous les sous-groupes dans Boost en une seule fois. Une fois un groupe sélectionné, cliquez sur Terminer.

Une fois l'installation terminée, l'intégration BoostSecurity GitLab est installée avec succès. Poursuivez votre parcours BoostSecurity en installant Zero Touch Provisioning.

Modifier une intégration BoostSecurity GitLab installée¶

Dans le cas où un ajustement doit être apporté à une intégration GitLab installée, les instructions suivantes sont fournies :

Naviguez vers la page des Intégrations.
Cliquez sur la carte d'intégration GitLab sous la section Installée.
Cliquez sur l'onglet Configuration.
Cliquez sur l'icône de crayon associée à l'intégration GitLab que vous souhaitez modifier.
Fournissez un Jeton d'Accès ayant la portée api et cliquez sur Mettre à jour.

Provisionnement Zero Touch pour GitLab¶

Allez sur la page des Intégrations, sélectionnez votre intégration GitLab et cliquez sur l'onglet de configuration.
Dans la colonne ZTP, vous remarquerez que le statut est défini sur Non Défini. Cliquez sur le menu à côté du statut et sélectionnez Activer.
L'assistant ZTP configure le dépôt boost de votre organisation GitLab, où la définition de pipeline GitLab (.gitlab-ci.yml) est située.
Sélectionnez le dépôt boost de votre organisation dans le menu déroulant comme indiqué ci-dessus et cliquez sur le bouton Suivant.
Autorisez le provisioning CI de BoostSecurity.io sur toutes les organisations. Cliquez sur le bouton Autoriser en bas de la page.
La configuration du pipeline est complète suite à une installation réussie du pipeline CI !

Note

En cliquant sur le bouton Activer les Scanners Recommandés par Boost, Boost provisionnera plusieurs scanners pour chaque dépôt auquel il a accès. Ces scanners demanderont ensuite de nouveaux scans pour chacun de ces dépôts. Veuillez noter que ce processus aurait un impact financier sur vos services, alors assurez-vous que c'est le bon choix avant de procéder.

Si vous vous connectez à une grande collection de dépôts, vous voudrez peut-être activer le scan de manière plus ciblée.

Le Provisionnement Zero Touch est maintenant activé !!!

Étapes Suivantes¶

Il est recommandé d'activer la protection par défaut des scanners pour votre organisation GitLab, puis de procéder à la création de votre première politique personnalisée, où vous définiriez des actions spécifiques pour les événements de sécurité identifiés par les scanners configurés.