의존성 스캔#

SBOM 스캔 API 제한#

SBOM을 사용한 의존성 스캔 기능은 사전 정의된 제한이 있는 내부 API를 사용합니다.

사전 요구 사항:

• 관리자 액세스 권한.

이 제한에 대해 다른 값을 구성하려면:

1. 오른쪽 상단에서 관리자를 선택합니다.
2. 왼쪽 사이드바에서 설정 > 보안 및 규정 준수를 선택합니다.
3. 의존성 스캔을 확장합니다.
4. 속도 제한 값을 변경하거나 비활성화하려면 속도 제한을 0으로 설정합니다.
5. 변경 사항 저장을 선택합니다.

패키지 메타데이터 데이터베이스 동기화#

동기화할 패키지 레지스트리 메타데이터 선택#

라이선스 규정 준수 및 지속적인 취약성 스캔을 위해 GitLab 패키지 메타데이터 데이터베이스(PMDB)와 동기화할 패키지를 선택하려면:

1. 오른쪽 상단에서 관리자를 선택합니다.
2. 왼쪽 사이드바에서 설정 > 보안 및 규정 준수를 선택합니다.
3. 라이선스 규정 준수를 확장합니다.
4. 동기화할 패키지 레지스트리 메타데이터에서 동기화하려는 패키지 레지스트리의 확인란을 선택하거나 해제합니다.
5. 변경 사항 저장을 선택합니다.

이 데이터 동기화가 작동하려면 GitLab 인스턴스에서 도메인 storage.googleapis.com으로의 아웃바운드 네트워크 트래픽을 허용해야 합니다. 패키지 메타데이터 데이터베이스 활성화에 설명된 오프라인 설정 지침도 참조하세요.

보안 고려 사항#

PMDB는 라이선스 및 어드바이저리 데이터를 공개적으로 액세스 가능한(읽기 전용) Google Cloud Storage 버킷에 게시하는 서비스입니다. 버킷은 누구나 읽을 수 있지만 IAM 제어를 통해 권한이 있는 GitLab 유지 관리자만 쓰기 액세스 권한을 가집니다. GitLab은 보안된 PostgreSQL 데이터베이스에서 데이터를 지속적으로 수집하고 OIDC 인증을 사용하는 비공개 서비스를 통해 내보냅니다. GitLab 인스턴스는 공개 버킷에서 데이터를 동기화하고 스키마 유효성 검사를 수행한 다음 유효성이 검사된 데이터를 GitLab 데이터베이스에 업서트합니다.