zurück zum Artikel

Die CI/CD-Plattform bringt neue Security-Features und erweitert den Kubernetes-Agenten auf die Free-Editionen.

Pünktlich ist GitLab 14.5 mit über 40 Neuerungen erschienen. Das November-Release widmet sich unter anderem der Anbindung an die Container-Orchestrierung Kubernetes und führt Sicherheitsscans für Infrastructure as Code (IaC) ein. Für Premium- und Ultimate-Nutzer gibt es zusätzliche Features wie die Verwaltung von Merge Requests auf dem Gruppenlevel.

Kubernetes-Agent für alle Nutzer

GitLab 14.5 stellt den GitLab Kubernetes Agent, der bisher nur für zahlende Nutzerinnen und Nutzer verfügbar war, auch für GitLab Free zur Verfügung. Das gilt sowohl für die SaaS-Edition (Software as a Service) als auch für die auf eigenen Servern gehostete (self-managed). Der GitLab Kubernetes Agent war erstmals in GitLab 13.4 mit an Bord [1] und dient dem Orchestrieren von Kubernetes-Clustern. Die zertifikatbasierte Anbindung an Kubernetes entfällt zugunsten des Agenten, da diese laut GitLab potenzielle Sicherheitsrisiken mit sich brachte [2].

Allerdings macht GitLab nicht alle Funktionen des Kubernetes-Agenten frei verfügbar, sondern diese bleiben teilweise den kostenpflichtigen Editionen vorbehalten – unter anderem Sicherheitswarnungen und GitOps-Deployments. Details zur Verfügbarkeit der Features finden sich in der Dokumentation [3].

Neue Sicherheitsfunktionen

Ebenfalls für alle GitLab-Nutzer steht das neue Security-Scanning von Konfigurationsdateien für Infrastructure as Code (IaC) zur Verfügung. Es basiert auf dem Open-Source-Projekt Keeping Infrastructure as Code Secure (KICS) und besitzt eine mit GitLab SAST (Static Application Security Testing) [4] vergleichbare Funktionsweise. Die IaC-Security-Scans lassen sich derzeit auf Terraform-, Ansible-, AWS-CloudFormation- und Kubernetes-Dateien ausführen.

Einzig Ultimate-Nutzern erlaubt GitLab, die Regeln für Vulnerability Checks feiner abzustufen. Damit lässt sich nun definieren, welche Scanner, Schweregrade und Arten von Schwachstellen beim Auslösen einer Regel zu berücksichtigen sind. Zudem lässt sich eine Mindestanzahl der so definierten Schwachstellen festlegen, ab der ein Merge Request eine Zustimmung (Approval) erfordert. Das soll Entwicklungs- und Security-Teams entlasten.

Für das nächste Release plant das GitLab-Team bereits weitere Security-Features [5]: So sollen Nutzerinnen und Nutzer der Ultimate-Edition manuelle Vulnerability-Aufzeichnungen erstellen sowie benutzerdefinierte Regeln der Analyzer für SAST und Secret Detection festlegen können.

Weitere Neuerungen

In den Premium- und Ultimate-Editionen lassen sich auf dem Gruppenlevel Werte festlegen, um Merge Requests durchzuführen. Diese Werte gehen auf alle Projekte über, die sich in der jeweiligen Gruppe befinden, sodass ein manuelles Überprüfen der Einstellungen in den einzelnen Projekten entfällt. Zunächst in Version 13.9 eingeführt, war das Feature bisher standardmäßig deaktiviert und verbarg sich hinter dem Flag group_merge_request_approval_settings_feature_flag. In GitLab 14.5 ist es standardmäßig aktiviert.

Auch die Usability hat das GitLab-Team mit Neuerungen bedacht, unter anderem tauchen Jobs auf der CI/CD-Seite nun in chronologischer Reihenfolge auf. Die UI Polish Gallery [6] zeigt eine grafische Übersicht der Neuerungen am User Interface.

Alle weiteren Informationen zu GitLab 14.5 bietet ein Blogeintrag [7].

(mai [8])

URL dieses Artikels:
https://www.heise.de/-6274429

Links in diesem Artikel:
[1] https://www.heise.de/news/Versionsverwaltung-GitLab-schickt-Agenten-in-Kubernetes-Cluster-4909476.html
[2] https://about.gitlab.com/blog/2021/11/15/deprecating-the-cert-based-kubernetes-integration/
[3] https://docs.gitlab.com/ee/user/clusters/agent/
[4] https://www.heise.de/news/Versionsverwaltung-GitLab-14-3-baut-die-Security-Analyse-aus-6199319.html
[5] https://about.gitlab.com/upcoming-releases/#secure
[6] https://nicolasdular.gitlab.io/gitlab-polish-gallery/
[7] https://about.gitlab.com/releases/2021/11/22/gitlab-14-5-released/
[8] mailto:mai@heise.de

Copyright © 2021 Heise Medien