Benachrichtigungen abonnieren

Wenn Sie Pub/Sub-Benachrichtigungen abonnieren, werden Sie benachrichtigt, wenn neue Pakete und Sicherheitsupdates für Assured Open Source Software (Assured OSS) verfügbar sind.

Assured OSS veröffentlicht zwei Arten von Benachrichtigungen:

  • Paketverfügbarkeit: Diese Benachrichtigungen enthalten Informationen zu neuen Paketen und Paketversionen, die Assured OSS hinzugefügt werden, sowie Updates zum Status der Paketeinrichtung.

  • Benachrichtigungen zu Sicherheitslücken: Diese Benachrichtigungen enthalten Informationen zu neuen Sicherheitslücken, die in den von Assured OSS verwalteten Paketen erkannt wurden, oder zu Aktualisierungen vorhandener Sicherheitslücken.

Programmatische Benachrichtigungen zu Aktualisierungen von Sicherheitsmetadaten und neuen Paketen werden in Pub/Sub-Themen veröffentlicht. Diese Benachrichtigungen sind im JSON-Format verfügbar. Sie können ein Pull- oder Push-Abo für das Assured OSS-Thema erstellen, um Benachrichtigungen zu erhalten.

Verwenden Sie zum Erstellen dieser Abos dieselben Dienstkonto- oder Workload Identity-Anmeldedaten, die Sie für den Zugriff auf Artefakte oder Metadaten verwenden. Wenn Ihr Zugriff auf Assured OSS aktiviert ist, erhalten die Dienstkonten die Berechtigung, Abos für diese Themen zu erstellen.

In den folgenden Abschnitten werden die Pub/Sub-Themen beschrieben.

Dieses Dokument gilt sowohl für die Premium- als auch für die kostenlose Stufe.

Hinweis

Wenn Sie VPC Service Controls für die Assured OSS-Premium-Stufe aktiviert haben, konfigurieren Sie die Regel für ausgehenden Traffic.

Thema des Onboarding-Pakets

  • Themenname: projects/cloud-aoss/topics/package_onboarding
  • Nachricht: Dieses Thema enthält Informationen zu neuen Paketversionen, die Assured OSS hinzugefügt werden, und Updates zum Onboarding-Status.

  • Nachrichtendatenschema:

    {
"package_name" string
"package_version" string
"language" string
"onboarding_status" string
"notification_status" string
}

  • Nachrichtendatenattribute:

    "PackageName"     string
"PackageVersion"  string
"PackageLanguage" string
"SchemaVersion"   string
"GenerateTime"    string

Thema „Informationen zu Sicherheitslücken“

  • Themenname: projects/cloud-aoss/topics/vulnerability_information
  • Nachricht: Dieses Thema enthält Informationen zu neuen Sicherheitslücken, die im System erkannt wurden, oder zu Aktualisierungen der Metadaten einer Sicherheitslücke.

  • Nachrichtendatenschema:

    {
"vulnerabilityId" string
"notificationStatus" string
}

  • Nachrichtendatenattribute:

    "PackageName"     string
"PackageVersion"  string
"PackageLanguage" string
"SchemaVersion"   string
"GenerateTime"    string

Zusammengefasstes Thema zur Paketeinrichtung und zu Sicherheitslücken für die Premium-Stufe

Sie können über das folgende Pub/Sub-Thema auf alle Assured OSS-Benachrichtigungen zugreifen:

projects/assuredoss-blue/topics/assuredoss-notifications

Benachrichtigungsattribute

Die folgenden Benachrichtigungsattribute sind Teil der veröffentlichten Pub/Sub-Nachricht. Sie können diese Attribute verwenden, um die Nachricht zu filtern.

{
  "Type": "string",             // Indicates the type of notification, can be 'PackageVersion' or 'Vulnerability'
  "PackageName": "string",      // Package ID
  "PackageVersion": "string",   // Version of the package
  "Language": "string",         // Language of the package
  "SchemaVersion": int,         // Schema version of the data in message
  "GenerateTime": "string"      // Time at which the event occurred
}

Das Attribut GenerateTime hat das RFC 3339-Format.

Wenn das Attribut Type den Wert PackageVersion hat, enthalten die Nachrichtendaten die folgenden Felder:

{
  "PackageName": "string",       // Package ID
  "PackageVersion": "string",    // Version of the package
  "Language": "string",          // Language of the package
  "NotificationStatus": "string" // Status of package-version,'New' indicates available to download from Assured OSS
}

Wenn das Attribut Type den Wert Vulnerability hat, enthalten die Nachrichtendaten die folgenden Felder:

{
  "ID": "string",            // Vulnerability ID affecting the package
  "Severity": "string",      // Severity of the vulnerability
  "Sources": [
    {
      "Name": "string",      // Source of vulnerability information
      "Link": "string"       // URL of vulnerability details
    }
  ],
  "Summary": "string",       // Summary of vulnerability
  "Description": "string",   // Detailed description of vulnerability
  "PackageName": "string",       // Package ID
  "PackageVersion": "string",    // Version of the package
  "Language": "string",          // Language of the package
  "NotificationStatus": "string" // Status of package-version
}

Der Wert des Felds NotificationStatus gibt den Status der Sicherheitslücke an. Wenn die Sicherheitslücke für ein Paket neu ist, lautet der Wert New. Wenn eine vorhandene Sicherheitslücke aktualisiert wird, lautet der Wert Update.

Pull-Abo erstellen

So erstellen Sie ein Pull-Abo:

  1. Erstellen Sie ein Pull-Abo. Sie können dieGoogle Cloud Console, die Google Cloud CLI oder die Pub/Sub API verwenden.

  2. Nachdem Sie das Pull-Abo erstellt haben, können Sie mit Clientbibliotheken oder der Google Cloud CLI Nachrichten abrufen.

Push-Abo erstellen

Wenn Sie ein Push-Abo erstellen möchten, richten Sie einen HTTPS-Server mit einem Zertifikat ein, das nicht selbst signiert ist und über das Internet zugänglich ist. Verwenden Sie das Push-Abomodell auf eine der folgenden Arten:

  • Wenn Sie ein Projekt und ein Dienstkonto von Google Cloud haben (z. B. wenn Sie Assured OSS in Security Command Center eingebunden haben):

    Da Assured OSS die Berechtigung zum Erstellen von Abos bietet, können Sie Ihre eigenen Push-Abos erstellen und mit dem Endpunkt Ihrer Wahl verknüpfen. Weitere Informationen finden Sie unter Push-Abos.

  • Wenn Sie die kostenlose Stufe verwenden und kein Google Cloud -Projekt und kein Dienstkonto haben, geben Sie den HTTPS-Endpunkt im Formular Zugriff aktivieren oder Benachrichtigungseinstellungen aktualisieren ein. Das Assured OSS-Team erstellt ein Push-Abo und hängt den Endpunkt an dieses Abo an.

Nächste Schritte