在 Datadog IaC 安全扫描中强制执行自定义规则
Datadog 为 IaC 安全扫描加入了自定义规则功能，让企业能检查自己特有的基础设施规定，比如必须打哪些标签、只能用哪些实例类型、资源怎么命名。以前默认规则只能覆盖通用安全问题，内部要求往往得靠人工在代码审查时检查。现在可以用自然语言描述需求，AI 会生成对应的 Rego 策略和示例配置，在编辑器里验证后再发布，并支持版本历史与回滚。发布后，违规结果会出现在拉取请求评论、IDE 插件和 IaC 安全结果浏览器里，还能接入 PR 门禁和自动化流程，无需另建工作流。该功能现已可使用，支持 Ansible、CloudFormation、Dockerfile、Kubernetes、Terraform 和 GitHub Actions。
文中可用工具
- Datadog IaC Security在部署前扫描基础设施即代码，发现并标记配置问题
- Rego用来编写自定义策略的规则语言，基于 Open Policy Agent
- Open Policy Agent提供 Rego 语言和策略执行能力的开源引擎
- Bits Chat辅助创建策略的对话工具
- Terraform编写和管理云基础设施的代码工具，自定义规则支持扫描它
- Ansible自动化配置管理工具，自定义规则支持扫描它
- AWS CloudFormationAWS 的基础设施即代码服务，自定义规则支持扫描它
- Dockerfile定义容器镜像构建步骤的文件，自定义规则支持扫描它
- Kubernetes容器编排平台，自定义规则支持扫描它
- GitHub ActionsGitHub 的自动化工作流，自定义规则支持扫描它
- PR Gates在拉取请求阶段拦截违反自定义策略的合并
- Findings Automation Pipelines根据安全发现结果触发自动化动作
评论 · 分享第一个看法