關於 gitlab ithome ，我們在網路上蒐集到這些相關的討論、資訊與評價

隨者資安意識的提升， Container Image 的安全性檢查變得愈來愈重要，最基本的想法就是針對 Image 本身去檢查是否有任何已知的 CVE 與 vulnerabilities，透過這類型的機制來確保我們要部署到生產環境的 Container Image 是足夠安全的。

目前至少有三種方法可以來達成這目標，第一種是直接使用相關的 CLI 工具掃描，第二種是將工具整合到 Container Registry 中，根據情況自動掃描，第三種則是將工具整合到 CI/CD pipeline 過程中，只有符合標準的 Container Image 才有資格被推到團隊所使用的 Container Image。

本文作者透過 Trivy 以及 GitlabCI 等工具來示範如何於 CI/CD pipeline 中完成 image 的安全性檢查(也就是方式三)。

# 重點整理
1. Trivy 掃出來的安全性有四種，分別是 Low, Medium, High 以及 Critical
2. Trivy 本身不定義什麼樣的結果叫做安全或不安全，完全是根據使用者自己決定。作者認為這個標準取決於團隊對於資安的重視性。範例中，作者定義只要有任何一個 Critical 等級的安全性漏洞，就將該 Image 視為不安全
3. 透過 Gitlab CI 的流程，來建置 Container Image，並且透過 Trivy 掃描，如果不符合安全定義就透過 exit-code 來結束該 stage，同時也會將 Trivy 的掃描結果給一併上傳。

如果對於(2)透過 container registry 來掃描的，可以參考我今年針對 ITHOME 鐵人賽所撰寫的文章: https://www.hwchiu.com/ithome/2020/registry/day21.html

原文：
https://medium.com/alterway/adding-image-security-scanning-to-a-ci-cd-pipeline-2faff072d

這次的 Devopsdays Taipei 是小編第一次在公開場合分享有關 Git 的演講，內容跟分支策略及存取模型有關。

與其說是演講，更希望是做為一個 meetup 或 workshop 來分享，因為 git 操作除了一般的使用方式 (git add, git commit) 之外，其實也沒有什麼對錯 (git checkout, git branch......)，大家能夠集思廣益的話就更好了。

所以小編這次只是把自己在日常及公司使用的一些方式分享出來，如果有不對的地方也希望大家指教。

時間：9/4 ~ 9/6 (議程總表還沒出來)
地點：台灣大學社會科學院大樓

---

題目：

如何與 Git 優雅地在樹上唱歌

摘要：

版本控制是現今軟體開發大家都一定要會的技能，而 Git 更是目前的版本控制主流。

這場演講不教大家最基本的 Git 指令，而是分享大家最困擾的分支策略及存取模型，也會分享我們在多環境開發時的分支策略，更推薦大家如何利用 GitLab 來管理程式碼。也會分享如何利用 Redmine + Git 來管理 issue。最後也會加上如何用 SemVer 制定版號。

Git 易學難精，每個專案也都有自己不同的分支及存取策略。希望這場演講能讓大家在管理程式碼時更容易上手。

#devopsdays #git #devops