CI/CD hattını sıkılaştırmak: yalıtım, OIDC ve sabitlenmiş bağımlılıklar
Koşucuları işler arasında yalıtır, uzun ömürlü anahtarları OIDC ile kısa ömürlü kimliğe çevirir, üçüncü taraf eylemleri sabitler ve hattın kendisini kurcalamaya karşı korursun.
Seviye 301 · 16 ders · 15 pratik lab
Dersler
Koşucu yalıtımı
- Her iş için yeni koşucu
- Koşucunun ağ erişimini daraltmak
- Koşucu sunucusunu sıkılaştırmak
- Kısa görev: kalıcı bir koşucuyu geçici koşucuyla değiştir
Kısa ömürlü kimlik
- OIDC ile iş kimliği: talepler ve hedef kitle
- Güven politikası: hangi dal, hangi ortam
- OIDC ile Vault’tan gizli bilgi almak
- Statik anahtarları kaldırmak ve geçişi izlemek
- Kısa görev: dağıtım işini statik paroladan OIDC’ye geçir
Hattın bütünlüğü
- Üçüncü taraf eylem ve şablonları özetle sabitlemek
- Paylaşılan hat şablonlarını korumak
- Hat dosyası değişikliklerine zorunlu inceleme
- Yapıt bütünlüğü: özet değer ve imza
- Kısa görev: bir hattaki bütün dış bağımlılıkları sabitle
Denetim
- Hat güvenliği kontrol listesi: OWASP CI/CD ilk 10 riski
- Bitirme görevi: bir kurumun derleme hattını kontrol listesine göre sıkılaştır
Pratik lablar
- Koşucunun işler arasında durum taşıyıp taşımadığını sına: Bir işte dosya bırak, sonraki işte ara ve koşucunun kalıcı mı geçici mi olduğunu yaz.
- Kalıcı koşucuyu geçici olanla değiştir: Her iş için yeni ortam açan koşucuyu kaydet, eski koşucuyu kaldır ve iz kalmadığını doğrula.
- Koşucunun ağ erişimini daralt ve sunucusunu sıkılaştır: Koşucunun yalnızca Git sunucusuna, kayıt defterine ve paket aynasına çıkmasına izin ver, iç ağa erişimi kes ve sunucudaki gereksiz servisleri kapat.
- İş kimliği belirtecindeki talepleri oku: OIDC belirtecini çöz ve proje, dal, ortam ve hedef kitle taleplerini yaz.
- Dağıtım işini statik paroladan OIDC’ye geçir: Vault’ta iş kimliğini kabul eden rolü tanımla, işi kısa ömürlü kimlik bilgisi alacak şekilde değiştir ve statik değişkeni sil.
- Güven politikasını dal ve ortama göre daralt: Her dalın üretim gizli bilgisini alabildiği gevşek politikayı bul, yalnızca korumalı dal ve üretim ortamına bağla ve özellik dalının reddedildiğini göster.
- Hatlardaki statik anahtarların envanterini çıkar: Tüm projelerin CI değişkenlerini tara ve uzun ömürlü anahtarları sahibi ve yaşıyla listele.
- Geçiş durumunu izleyen bir tablo hazırla: Her statik anahtar için hedef yöntemi, sahibi ve durumunu yaz ve kalan sayıyı API’den otomatik hesaplayan betiği ekle.
- Son statik anahtarı kesintisiz kaldır ve geri dönüşü engelle: İki yöntemi bir süre birlikte çalıştır, eskisini iptal et ve yeni statik anahtar eklenmesini yakalayan denetimi hatta ekle.
- Sabitlenmemiş dış bağımlılıkları hat dosyasında bul: Etiketle ya da dal adıyla çekilen şablonları, imajları ve betikleri listele.
- Hattaki her dış bağımlılığı özetle sabitle: Şablonları commit özetine, imajları özet değerine çevir ve indirilen betiği sağlama toplamıyla doğrula.
- Paylaşılan şablonları ve hat dosyası değişikliklerini koru: Şablon deposuna dal koruması ve sahip onayı ekle, hat dosyası değişikliğine zorunlu inceleme koy ve yapıtın özetini aşamalar arasında doğrula.
- Bulguları OWASP CI/CD ilk on riskiyle eşle: Sekiz örnek bulguyu doğru risk başlığına yerleştir.
- Bir derleme hattını denetim listesine göre denetle: On risk başlığının her biri için hattı incele, durumu ve kanıtı yaz.
- Kurumun derleme hattını denetim listesine göre sıkılaştır: Demirsu Enerji’nin hattında en ağır beş bulguyu kapat, her biri için öncesi ile sonrası kanıtı ve kalan riski raporla.
Kurs hakkında
Koşucuları işler arasında yalıtır, uzun ömürlü anahtarları OIDC ile kısa ömürlü kimliğe çevirir, üçüncü taraf eylemleri sabitler ve hattın kendisini kurcalamaya karşı korursun.
Ne öğreneceksin
- Koşucu yalıtımı
- Kısa ömürlü kimlik
- Hattın bütünlüğü
- Denetim
Ön koşullar
Aynı yolun 101 ve 201 düzeyindeki konularına hâkim olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde ve ona bağlı özel bir lab ağında geçer. Kurulum gerekmez.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 301 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.