• 具有多个流水线的合并请求
• 扫描结果策略编辑器
• 扫描结果策略 schema（Scan result policies schema）
• 扫描结果策略 schema（Scan result policy schema）
• scan_finding 规则类型
• license_finding 规则类型
• any_merge_request 规则类型
• require_approval 操作类型
• 安全扫描结果策略项目示例
• 扫描结果策略编辑器示例
• 扫描结果策略需要额外批准的示例情况

扫描结果策略

群组级扫描结果策略引入于 15.6 版本。

您可以使用扫描结果策略根据扫描结果采取行动。例如，一种类型的扫描结果策略是允许根据一个或多个安全扫描作业的 findings，要求批准的安全批准策略。在 CI 扫描作业完全执行后评估扫描结果策略。

具有多个流水线的合并请求

• 引入于极狐GitLab 16.2，功能标志为 multi_pipeline_scan_result_policies。默认禁用。
• 在 JihuLab.com 和私有化部署上启用于极狐GitLab 16.3。

一个项目可以配置多个流水线类型。一次提交可以启动多个流水线，每个流水线都可能包含安全扫描。

• 在 16.3 及更高版本中，将评估 MR 源分支和目标分支中最新提交的所有已完成流水线的结果，并用以执行扫描结果策略。 不考虑父子流水线和按需 DAST 流水线。
• 在 16.2 及更早版本中，执行扫描结果策略时，仅评估最新完成的流水线的结果。

扫描结果策略编辑器

引入于极狐GitLab 14.8。 默认启用于极狐GitLab 15.6。

完成策略后，通过选择编辑器底部的 使用合并请求进行配置 来保存，将您重定向到项目的已配置安全策略项目的合并请求。 如果安全策略项目未关联到您的项目，系统会为您创建项目。 通过选择编辑器底部的 删除策略，也可以从编辑器界面中删除现有策略。

大多数策略更改会在合并请求合并后立即生效。未通过合并请求并直接提交到默认分支的任何更改，可能需要长达 10 分钟才能使策略更改生效。

策略编辑器支持 YAML 模式和规则模式。

扫描结果策略 schema（Scan result policies schema）

带有扫描结果策略的 YAML 文件由一组与嵌套在 scan_result_policy key 下的扫描结果策略模式匹配的对象组成。您可以在 scan_result_policy key 下配置最多五个策略。

当您保存新策略时，极狐GitLab 会根据此 JSON 模式 验证其内容。 如果您不熟悉如何阅读 JSON 模式，以下部分和表格提供另一种选择。

扫描结果策略 schema（Scan result policy schema）

approval_settings 字段引入于极狐GitLab 16.4，功能标志为 scan_result_policy_settings。默认禁用。

scan_finding 规则类型

• 扫描结果策略字段 vulnerability_attributes 引入于极狐GitLab 16.2，功能标志为 enforce_vulnerability_attributes_rules。默认禁用。
• 在 JihuLab.com 和私有化部署上启用于极狐GitLab 16.3。
• 扫描结果策略字段 vulnerability_age 引入于极狐GitLab 16.2。
• branch_exceptions 字段引入于极狐GitLab 16.3，功能标志为 security_policies_branch_exceptions。默认启用。

此规则根据安全扫描结果执行定义的操作。

license_finding 规则类型

• 引入于极狐GitLab 15.9，功能标志为 license_scanning_policies。
• 普遍可用于极狐GitLab 15.11。移除功能标志 license_scanning_policies。
• branch_exceptions 字段引入于极狐GitLab 16.3，功能标志为 security_policies_branch_exceptions。默认启用。

此规则根据许可证结果执行定义的操作。

any_merge_request 规则类型

• 引入于极狐GitLab 16.4。
• branch_exceptions 字段引入于极狐GitLab 16.3，功能标志为 security_policies_branch_exceptions。默认启用。

此规则根据提交签名为合并请求执行定义的操作。

require_approval 操作类型

此操作设置在满足已定义策略中的至少一个规则的条件时，需要的批准规则。

要求和限制：

• 您必须添加相应的安全扫描工具。否则，扫描结果策略将不起作用。
• 策略的最大数量为五个。
• 每个策略最多可以有五个规则。
• 所有配置的扫描器都必须存在于合并请求的最新流水线中。否则，即使未满足某些漏洞标准，也需要批准。

安全扫描结果策略项目示例

您可以在 .gitlab/security-policies/policy.yml 中使用此示例，如安全策略项目中所述：

---
scan_result_policy:
  - name: critical vulnerability CS approvals
    description: critical severity level only for container scanning
    enabled: true
    rules:
      - type: scan_finding
        branches:
          - main
        scanners:
          - container_scanning
        vulnerabilities_allowed: 0
        severity_levels:
          - critical
        vulnerability_states:
          - newly_detected
        vulnerability_attributes:
          false_positive: true
          fix_available: true
    actions:
      - type: require_approval
        approvals_required: 1
        user_approvers:
          - adalberto.dare
  - name: secondary CS approvals
    description: secondary only for container scanning
    enabled: true
    rules:
      - type: scan_finding
        branches:
          - main
        scanners:
          - container_scanning
        vulnerabilities_allowed: 1
        severity_levels:
          - low
          - unknown
        vulnerability_states:
          - detected
        vulnerability_age:
          operator: greater_than
          value: 30
          interval: day
    actions:
      - type: require_approval
        approvals_required: 1
        role_approvers:
          - owner

在此例中：

• 每个包含由容器扫描识别的新 critical 级别的漏洞的 MR，都需要 alberto.dare 的批准。
• 每个包含多个通过容器扫描发现的超过 30 天的预先存在的 low 或 unknown 漏洞的 MR 都需要获得具有所有者角色的项目成员的批准。

扫描结果策略编辑器示例

您可以在扫描结果策略编辑器的 YAML 模式下使用此示例。 它对应于上一个示例中的单个对象：

- name: critical vulnerability CS approvals
  description: critical severity level only for container scanning
  enabled: true
  rules:
    - type: scan_finding
      branches:
        - main
      scanners:
        - container_scanning
      vulnerabilities_allowed: 1
      severity_levels:
        - critical
      vulnerability_states:
        - newly_detected
  actions:
    - type: require_approval
      approvals_required: 1
      user_approvers:
        - adalberto.dare

扫描结果策略需要额外批准的示例情况

在几种情况下，扫描结果策略需要额外的批准步骤。例如：

• 工作分支中的安全作业数量减少，并且不再与目标分支中的安全作业数量匹配。用户无法通过从 CI/CD 配置中移除扫描作业来跳过扫描结果策略。仅检查扫描结果策略规则中配置的安全扫描是否删除。

  例如，考虑默认分支流水线有四个安全扫描的情况：sast、secret_detection、container_scanning 和 dependency_scanning。扫描结果策略执行两个扫描程序：container_scanning 和 dependency_scanning。如果 MR 删除在扫描结果策略（例如 container_scanning）中配置的扫描，则需要额外的批准。

• 有人停止了流水线安全作业，用户无法跳过安全扫描。
• 合并请求中的作业失败并配置为 allow_failure: false，结果流水线处于阻塞状态。
• 流水线有一个手动作业，必须成功运行才能使整个流水线通过。