https://teknolabs.net/courses/devops-cloud/partie-4-cicd-devsecops/index.html Automatiser la construction et la vérification (Jenkins, GitLab CI), brancher les contrôles de sécurité au plus tôt et sécuriser la chaîne d’approvisionnement. TP Outil(s) Approche TP9 Jenkins Pipeline as Code : Jenkinsfile déclaratif, agents Docker, parallélisme, credentials, tag Git SHA, Multibranch TP10 Gitleaks, Semgrep, CodeQL, Trivy… Shift Left sur une application vulnérable : secrets, SAST, SCA, images, quality gates, GitHub sécurisé TP11 GitLab CI/CD Pipeline .gitlab-ci.yml, runner auto-hébergé, templates de sécurité, registre GitLab, comparaison Jenkins / GitHub / GitLab TP12 Harbor, Syft, Cosign Software Supply Chain : registre privé, SBOM, signature (clé et keyless), provenance, SLSA Prérequis : Le projet contact-api du TP8 et son Dockerfile du TP7. Hugo en-us https://teknolabs.net/courses/devops-cloud/partie-4-cicd-devsecops/tp9-jenkins-pipeline/index.html Mon, 01 Jan 0001 00:00:00 +0000 https://teknolabs.net/courses/devops-cloud/partie-4-cicd-devsecops/tp9-jenkins-pipeline/index.html Vous avez installé Jenkins au TP4 et découvert un pipeline CI hébergé avec GitHub Actions au TP3. Ce TP vous apprend à décrire un pipeline Jenkins dans le dépôt (Jenkinsfile) : stages, exécution parallèle, agents Docker, credentials, blocs post, artefacts, tag d’image basé sur le Git SHA, puis un job Multibranch qui construit chaque branche et chaque Pull Request. Fichiers de départ : Jenkinsfile 1. Objectifs pédagogiques À l’issue du TP, vous serez capable de : https://teknolabs.net/courses/devops-cloud/partie-4-cicd-devsecops/tp10-devsecops-shift-left/index.html Mon, 01 Jan 0001 00:00:00 +0000 https://teknolabs.net/courses/devops-cloud/partie-4-cicd-devsecops/tp10-devsecops-shift-left/index.html Le Shift Left consiste à déplacer les contrôles de sécurité vers la gauche du cycle de vie : sur le poste du développeur et dans la CI, plutôt qu’après la mise en production. Dans ce TP, vous analysez une application volontairement vulnérable avec les outils open source standard, vous les branchez dans GitHub Actions et dans Jenkins avec des quality gates, puis vous corrigez les failles. ⚠️ L’application vuln-app/ contient des failles réelles (injection SQL, injection de commande, XSS, dépendances vulnérables) et des secrets factices. Ne l’exposez jamais en dehors de la VM de lab. https://teknolabs.net/courses/devops-cloud/partie-4-cicd-devsecops/tp11-gitlab-ci/index.html Mon, 01 Jan 0001 00:00:00 +0000 https://teknolabs.net/courses/devops-cloud/partie-4-cicd-devsecops/tp11-gitlab-ci/index.html Après Jenkins (TP9) et GitHub Actions (TP3, TP10), ce TP fait découvrir le troisième grand outil de CI/CD : GitLab CI/CD. La forge, la CI, le registre de conteneurs et les scanners de sécurité y sont intégrés dans un même produit. Vous exécutez le pipeline sur votre propre runner, installé sur la VM de lab, pour comprendre comment fonctionnent les runners auto-hébergés et comment les sécuriser. Fichiers de départ : gitlab-ci-starter.zip 1. Objectifs pédagogiques À l’issue du TP, vous serez capable de : https://teknolabs.net/courses/devops-cloud/partie-4-cicd-devsecops/tp12-supply-chain/index.html Mon, 01 Jan 0001 00:00:00 +0000 https://teknolabs.net/courses/devops-cloud/partie-4-cicd-devsecops/tp12-supply-chain/index.html Scanner son code ne suffit plus : des attaques comme SolarWinds, Codecov ou la porte dérobée de xz-utils ont compromis la chaîne de fabrication elle-même (dépendance, outil de build, registre). Ce TP met en place les briques qui permettent de savoir ce que contient une image (SBOM), de prouver qui l’a construite et comment (signature, provenance), et de refuser ce qui n’est pas prouvé. Le tout autour d’un registre privé Harbor.