checkov vscode

档案通知

该存储库不再维护，也不再封装的VS代码扩展名。

Checkov VS代码扩展名被重新命名为Prisma Cloud VS代码插件，现在可以在此处找到

检查视觉工作室代码的扩展

Checkov是用于基础架构 - 代码，秘密和软件组成分析的静态代码分析工具。

Visual Studio代码的CheckOV扩展使开发人员能够获得实时扫描结果，以及在开发云基础架构时修复了建议的建议。

该扩展名当前可直接从Visual Studio扩展市场直接下载，其源代码可在Apache 2.0许可存储库中获得。扩展的开发正在进行中，并且可以用于预发行的使用情况？ 。

激活扩展名需要Prisma云访问密钥和API。它使用Prisma Cloud API来评估代码并提供自动的内联修复程序。有关与Prisma Cloud共享的数据的更多信息，请参见下面的免责声明部分。

扩展功能包括：

• 1000多个内置政策涵盖了AWS，Azure和Google Cloud的安全性和合规性最佳实践。
• Terraform，Terraform Plan，Cloudformation，Kubernetes，Helm，无服务器和手臂模板扫描。
• 检测EC2 UserData，Lambda环境变量和Terraform提供商中的AWS凭据。
• 在Terraform中，支票支持对变量和远程模块中的参数的评估。
• 通过评论支持内联抑制。
• 链接到策略描述，理由以及逐步固定已知错误配置的指令。
• 修复建议通常错误配置的地表和云形式属性。

入门

安装

在Visual Studio Marketplace中打开视觉工作室代码的CheckOV扩展。

依赖性

• Python> = 3.7或Pipenv或Docker守护程序运行

Checkov扩展程序将调用最新版本的Checkov 。

配置

• 在Prisma Cloud中，转到设置>访问控制>添加>访问键并复制键。

• 在Visual Studio代码中，在Checkov扩展设置页面中输入键和API端点。

• 可以使用自定义CA证书。如果需要，请在Checkov扩展设置页面中设置通往证书文件的路径。

• 如果您发现错误消息嘈杂，则可以通过在Checkov扩展设置页面中选择Disable error message完全禁用它。

用法

• 打开您希望在VSCODE中使用CheckOV扫描的文件。
• 打开命令调色板（⇧⌘P）并运行命令Checkov Scan 。
• 扫描结果现在应该出现在您的编辑器中。
• 单击扫描以查看其详细信息。详细信息将包括违反政策和分步修复准则的链接。
• 在大多数情况下，详细信息将包括一个修复选项。这将基于Checkov Fix词典添加，删除或替换不需要的配置。
• 您可以通过添加Inline Skip注释CheckOV跳过checkov:skip=<check_id>:<suppression_comment> 。有关更多详细信息，请参见文档。
• 该扩展程序将继续扫描文件修改，并在每个材料资源修改后突出显示编辑器中的错误。

故障排除日志

要访问CheckOv-Vscode Logs目录，请打开VSCODE命令调色板(Ctrl+Shift+P)或(Command+Shift+P) ，然后运行命令Open Checkov Log 。如果您删除日志文件，然后重试为了产生干净的日志，则有所帮助。

常见问题

MACOS上的Docker文件访问权限

如果您正在遇到故障并通过Docker运行CheckOV扩展程序，则MacOS可能需要授予Docker许可以访问代码的目录位置。在MacOS System Preferences > Privacy and Security > Privacy从列表中找到Files and Folders部分，并确保Docker可以访问您的代码位置。

可以在扩展日志中找到此问题的症状，您将看到[info]: Running Checkov executablePath: docker ，然后输出显示零通过，失败或跳过检查，以及1+解析错误，如下所示：

[info]: Running checkov {“executablePath”:“docker”,“arguments”
...
...
[debug]: Checkov task output:
...
 “ passed “ : 0, rn        “ failed “ : 0, rn        “ skipped “ : 0, rn        “ parsing_errors “ : 1, rn        “ checkov_version “ : “ 1.0.770 “rn    }

贡献

欢迎贡献！

首先审查贡献指南。之后，看看一个好的第一期。

想要贡献新的支票？在此处了解如何编写新检查（又称策略）。

免责声明

要使用此插件，您将需要一个Prisma Cloud帐户。该插件使用Prisma Cloud的修复API来分析和生成代码修复程序，并丰富了所提供的结果。请注意Prisma Cloud隐私政策以获取更多详细信息。为了生成修复程序，发现已触发违规的文件可用于修复API，以便生成内联固定代码建议的唯一目的。