Compila una aplicación y consulta las estadísticas de seguridad

Prepare el entorno

1. Configura el ID del proyecto como una variable de entorno:

   export PROJECT_ID=$(gcloud config get project)
   

2. Clona el repositorio que contiene la muestra de código de Java para compilar y Creación de contenedores:

   git clone https://github.com/googlecloudplatform/software-delivery-shield-demo-java.git
   cd software-delivery-shield-demo-java/backend
   

Crea el repositorio de Artifact Registry para tu imagen

1. Crea un nuevo repositorio de Docker llamado containers en la ubicación us-central1 con la descripción “Repositorio de Docker”:

   gcloud artifacts repositories create containers \
       --repository-format=docker \
       --location=us-central1 --description="Docker repository"
   

2. Verifica que se haya creado el repositorio:

   gcloud artifacts repositories list
   

   Deberías ver containers en la lista de repositorios que se muestran.

Compila la aplicación

Compilar y alojar en contenedores la aplicación de Java con Cloud Build El siguiente comando compila y aloja en contenedores la aplicación de Java y almacena el contenedor compilado en el repositorio de Docker de Artifact Registry:

gcloud builds submit --config=cloudbuild.yaml --region=us-central1

Cuando se complete la compilación, verás un mensaje de estado de éxito similar al lo siguiente:

<pre class="none lang-sh">
DONE
-----------------------------------------------------------------------------
ID: 3e08565f-7f57-4449-bc68-51c46cf33d03
CREATE_TIME: 2022-09-19T15:41:07+00:00
DURATION: 54S
SOURCE: gs://sds-docs-project_cloudbuild/source/1663602066.777581-6ebe4b2d6fd741ffa18936d7f78055e9.tgz
IMAGES: us-central1-docker.pkg.dev/sds-docs-project/containers/java-guestbook-backend:quickstart
STATUS: SUCCESS
</pre>

Genera una SBOM para la imagen compilada

Una SBOM es un inventario completo de una aplicación que identifica los paquetes y en las que se basa tu software. El contenido puede incluir software de terceros de artefactos internos y bibliotecas de código abierto.

Genera la SBOM para la imagen que compilaste en la sección anterior:

gcloud artifacts sbom export
    --uri=us-central1-docker.pkg.dev/${PROJECT_ID}/containers/java-guestbook-backend:quickstart

Ver estadísticas de seguridad

La IU de Cloud Build en la consola de Google Cloud contiene las Panel Security Insights de Software Delivery Shield en el que se muestran los datos de seguridad información relacionada con la compilación, como el nivel de SLSA, las vulnerabilidades en la las dependencias y la procedencia de la compilación.

Para ver el panel Estadísticas de seguridad de Software Delivery Shield, haz lo siguiente:

1. Abre la página Historial de compilación en la consola de Google Cloud:

   Abrir la página Historial de compilación

2. Selecciona tu proyecto y haz clic en Open.

3. En el menú desplegable Región, selecciona us-central1.

4. En la tabla con las compilaciones, localiza la fila con la compilación que acabas de encontrar. ejecutado.

5. En la columna Estadísticas de seguridad, haz clic en Ver.

Verás el panel Security Insights de la compilación:

En este panel, se muestra la siguiente información:

• Nivel SLSA: Esta compilación alcanzó el nivel 3 de SLSA. Haz clic en el botón Aprender Más información para obtener información sobre el significado de este nivel de seguridad.

• Vulnerabilidades: Cualquier vulnerabilidad que se encuentre en tus artefactos. Haz clic en el ícono nombre de la imagen (java-guestbook-backend) para ver los artefactos que se analizado en busca de vulnerabilidades.

• Dependencias de la imagen de contenedor compilada en Artifact Registry.

• Detalles de compilación: Detalles de la compilación, como el compilador y el vínculo a y visualizar registros.