cycloid/infrapolicy-resource

Cycloid Infrapolicy Concourse资源镜像

镜像概述

本镜像作为Concourse CI/CD平台的资源类型，专门用于集成Cycloid的infrapolicy检查功能。通过在Concourse流水线中配置此资源，团队可以自动化执行基础设施策略检查，确保基础设施即代码(IaC)配置在部署前符合组织的安全、合规和最佳实践策略。

核心功能与特性

• Concourse资源集成：无缝集成到Concourse CI/CD流水线，作为资源类型提供策略检查能力
• Cycloid Infrapolicy执行：支持运行Cycloid infrapolicy工具，执行预定义的基础设施策略规则检查
• 策略验证：对IaC配置（如Terraform代码）进行策略合规性验证，识别潜在风险和不合规项
• 结果输出：提供结构化的检查结果，便于流水线后续步骤（如通知、部署控制）处理

使用场景

• CI/CD流水线集成：在基础设施部署流水线中添加策略检查环节，实现"策略即代码"落地
• 部署前验证：在IaC代码合并或部署前自动执行策略检查，防止不合规配置进入生产环境
• 合规性审计：定期对现有基础设施配置执行策略检查，确保持续符合组织策略要求
• 多环境适配：支持开发、测试、生产等不同环境的策略检查配置

使用方法与配置说明

1. 在Concourse Pipeline中定义资源类型

首先需要在pipeline配置中定义此资源类型：

yaml
resource_types:
- name: cycloid-infrapolicy
  type: docker-image
  source:
    repository: <镜像仓库地址>  # 替换为实际镜像仓库地址
    tag: <镜像版本>  # 替换为实际镜像版本

2. 配置资源

在pipeline中配置具体的infrapolicy检查资源：

yaml
resources:
- name: my-infrapolicy-check
  type: cycloid-infrapolicy
  source:
    # 可选：Cycloid infrapolicy版本
    infrapolicy_version: "latest"
    # 可选：策略文件路径（相对于资源输入）
    policy_path: "policies/"
    # 可选：IaC配置文件路径（相对于资源输入）
    iac_path: "terraform/"
    # 可选：是否开启详细日志
    debug: false

3. 在Job中使用资源

在Concourse job中使用此资源执行策略检查：

yaml
jobs:
- name: check-infrastructure-policy
  plan:
  - get: iac-code
    trigger: true  # 当IaC代码更新时触发检查
  - get: policy-definitions
  - put: my-infrapolicy-check
    params:
      # IaC代码目录（来自之前的get步骤）
      iac_directory: iac-code/
      # 策略定义目录（来自之前的get步骤）
      policy_directory: policy-definitions/
      # 可选：指定检查的策略规则集
      policy_set: "security,compliance"
      # 可选：失败阈值（error/warning/none）
      failure_level: "error"

配置参数说明

资源配置参数（source）

任务执行参数（params）

环境变量

执行检查时可通过环境变量配置额外参数：

• CYCLOID_API_TOKEN：Cycloid平台API令牌（如使用Cycloid托管策略）
• INFRAPOLICY_CACHE_DIR：缓存目录路径，用于加速重复检查

输出结果

策略检查结果将以JSON格式输出，包含以下关键信息：

• passed：布尔值，指示检查是否通过
• violations：数组，包含所有违反策略的详细信息（规则ID、严重级别、描述、位置等）
• summary：对象，包含检查摘要（总规则数、通过数、失败数、警告数）

结果可通过Concourse的get步骤获取，用于后续通知或决策逻辑。