• 스키마
  • 최상위 섹션
  • [secrets] 구성 섹션
    • interpolate
  • [[secrets.ruleset]] 섹션
  • [secrets.ruleset.identifier] 섹션
  • [secrets.ruleset.override] 섹션
  • [[secrets.passthrough]] 섹션
    • 패스스루 유형

사용자 정의 규칙 집합 스키마

Offering: GitLab.com, Self-managed, GitLab Dedicated

파이프라인 비밀 탐지를 사용자 정의하려면 다양한 종류의 규칙 집합 사용자 정의를 사용할 수 있습니다.

스키마

파이프라인 비밀 탐지 규칙 집합의 사용자 정의는 엄격한 스키마를 따라야 합니다. 다음 섹션에서는 사용 가능한 각 옵션과 해당 섹션에 적용되는 스키마를 설명합니다.

최상위 섹션

최상위 섹션에는 하나 이상의 _구성 섹션_이 포함되어 있으며, 이는 TOML 테이블로 정의됩니다.

구성 예제:

[secrets]
...

[secrets] 구성 섹션

[secrets] 섹션을 사용하면 분석기의 동작을 사용자 정의할 수 있습니다. 유효한 속성은 구성 유형에 따라 다릅니다.

interpolate

경고:

비밀 유출의 위험을 줄이기 위해 이 기능을 사용할 때는 주의하십시오.

아래 예제는 $GITURL 환경 변수를 사용하여 개인 리포지토리에 접근하는 구성을 보여줍니다. 이 변수에는 사용자 이름과 토큰이 포함되어 있으므로(예: https://user:token@url) 구성 파일에 명시적으로 저장되지 않습니다.

[secrets]
  description = "My private remote ruleset"
  interpolate = true

  [[secrets.passthrough]]
    type  = "git"
    value = "$GITURL"
    ref = "main"

[[secrets.ruleset]] 섹션

[[secrets.ruleset]] 섹션은 단일 사전 정의된 규칙을 타겟으로 하고 수정합니다. 분석기에 대해 이러한 섹션을 하나 이상 정의할 수 있습니다.

구성 예제:

[secrets]
  [[secrets.ruleset]]
    disable = true
    ...

[secrets.ruleset.identifier] 섹션

[secrets.ruleset.identifier] 섹션은 수정하려는 미리 정의된 규칙의 식별자를 정의합니다.

type과 value의 올바른 값을 확인하려면 분석자가 생성한 gl-secret-detection-report.json를 참조하세요. 이 파일은 분석자의 CI 작업에서 작업 아티팩트로 다운로드할 수 있습니다.

예를 들어, 아래의 코드 조각은 하나의 식별자를 가진 gitlab_personal_access_token 규칙의 발견을 보여줍니다. JSON 객체의 type 및 value 키는 이 섹션에 제공해야 하는 값에 해당합니다.

...
  "vulnerabilities": [
    {
      "id": "fccb407005c0fb58ad6cfcae01bea86093953ed1ae9f9623ecc3e4117675c91a",
      "category": "secret_detection",
      "name": "GitLab personal access token",
      "description": "GitLab personal access token has been found in commit 5c124166",
      ...
      "identifiers": [
        {
          "type": "gitleaks_rule_id",
          "name": "Gitleaks rule ID gitlab_personal_access_token",
          "value": "gitlab_personal_access_token"
        }
      ]
    }
    ...
  ]
...

설정 예시:

[secrets]
  [[secrets.ruleset]]
    [secrets.ruleset.identifier]
      type = "gitleaks_rule_id"
      value = "gitlab_personal_access_token"
    ...

[secrets.ruleset.override] 섹션

[secrets.ruleset.override] 섹션은 미리 정의된 규칙의 속성을 오버라이드할 수 있습니다.

주의:

message는 여전히 분석기에 의해 채워지지만, 더 이상 사용되지 않습니다 그리고 name과 description으로 대체되었습니다.

설정 예시:

[secrets]
  [[secrets.ruleset]]
    [secrets.ruleset.override]
      severity = "Medium"
      name = "systemd machine-id"
    ...

[[secrets.passthrough]] 섹션

[[secrets.passthrough]] 섹션은 분석기를 위한 사용자 정의 구성을 합성하는 데 사용됩니다.

각 분석기당 최대 20개의 이러한 섹션을 정의할 수 있습니다. 패스스루는 완전한 구성을 평가하는 _passthrough chain_으로 구성되어 분석기의 미리 정의된 규칙을 교체하거나 확장하는 데 사용할 수 있습니다.

패스스루는 순서대로 평가됩니다. 체인에서 나중에 나열된 패스스루는 우선 순위가 높아 이전 패스스루가 생성한 데이터에 대해 덮어쓰거나 추가할 수 있습니다(mode에 따라). 기존 구성을 사용하거나 수정해야 할 때 패스스루를 사용하세요.

단일 패스스루가 생성하는 구성의 크기는 10MB로 제한됩니다.

패스스루 유형