En vous abonnant aux notifications Pub/Sub, vous pouvez recevoir des alertes lorsque de nouveaux packages et des mises à jour de sécurité sont disponibles pour Assured Open Source Software (Assured OSS).
Assured OSS publie deux types de notifications :
Disponibilité des packages : ces notifications contiennent des informations sur les nouveaux packages et les nouvelles versions de packages ajoutés à Assured OSS, ainsi que des mises à jour sur l'état d'intégration des packages.
Notifications de failles : ces notifications contiennent des informations sur les nouvelles failles détectées dans les packages sélectionnés par Assured OSS ou sur les mises à jour de failles existantes.
Les notifications automatisées concernant les mises à jour des métadonnées de sécurité et les nouveaux packages sont publiées dans des sujets Pub/Sub. Ces notifications sont disponibles au format JSON. Vous pouvez créer un abonnement pull ou push au sujet Assured OSS pour recevoir des notifications.
Pour créer ces abonnements, utilisez les mêmes identifiants de compte de service ou Workload Identity que ceux que vous utilisez pour accéder aux artefacts ou aux métadonnées. Lorsque votre accès à Assured OSS est activé, les comptes de service sont autorisés à créer des abonnements sur ces sujets.
Les sections suivantes décrivent les sujets Pub/Sub.
Ce document s'applique à la fois au niveau Premium et au niveau sans frais.
Avant de commencer
Pour le niveau Premium d'Assured OSS, si vous avez activé VPC Service Controls, configurez la règle de sortie.
Sujet d'intégration du package
- Nom du sujet :
projects/cloud-aoss/topics/package_onboarding - Message : ce sujet contient des informations sur les nouvelles versions de packages ajoutées à Assured OSS et des mises à jour concernant l'état d'intégration.
Schéma des données de message :
{ "package_name" string "package_version" string "language" string "onboarding_status" string "notification_status" string }Attributs des données de message :
"PackageName" string "PackageVersion" string "PackageLanguage" string "SchemaVersion" string "GenerateTime" string
Sujet d'informations sur les failles
- Nom du sujet :
projects/cloud-aoss/topics/vulnerability_information - Message : ce sujet contient des informations sur les nouvelles failles détectées dans le système ou sur la mise à jour des métadonnées d'une faille.
Schéma des données de message :
{ "vulnerabilityId" string "notificationStatus" string }Attributs des données de message :
"PackageName" string "PackageVersion" string "PackageLanguage" string "SchemaVersion" string "GenerateTime" string
Regroupement des informations sur l'intégration des packages et les failles pour le niveau Premium
Vous pouvez accéder à toutes les notifications Assured OSS à partir du sujet Pub/Sub suivant :
projects/assuredoss-blue/topics/assuredoss-notifications
Attributs de notification
Les attributs de notification suivants font partie du message Pub/Sub publié. Vous pouvez utiliser ces attributs pour filtrer le message.
{
"Type": "string", // Indicates the type of notification, can be 'PackageVersion' or 'Vulnerability'
"PackageName": "string", // Package ID
"PackageVersion": "string", // Version of the package
"Language": "string", // Language of the package
"SchemaVersion": int, // Schema version of the data in message
"GenerateTime": "string" // Time at which the event occurred
}
L'attribut GenerateTime est au format RFC 3339.
Notifications liées aux colis
Lorsque l'attribut Type est PackageVersion, les données du message comportent les champs suivants :
{
"PackageName": "string", // Package ID
"PackageVersion": "string", // Version of the package
"Language": "string", // Language of the package
"NotificationStatus": "string" // Status of package-version,'New' indicates available to download from Assured OSS
}
Notifications liées aux failles
Lorsque l'attribut Type est Vulnerability, les données du message comportent les champs suivants :
{
"ID": "string", // Vulnerability ID affecting the package
"Severity": "string", // Severity of the vulnerability
"Sources": [
{
"Name": "string", // Source of vulnerability information
"Link": "string" // URL of vulnerability details
}
],
"Summary": "string", // Summary of vulnerability
"Description": "string", // Detailed description of vulnerability
"PackageName": "string", // Package ID
"PackageVersion": "string", // Version of the package
"Language": "string", // Language of the package
"NotificationStatus": "string" // Status of package-version
}
La valeur du champ NotificationStatus indique l'état de la faille. Si la faille est nouvelle pour un package, la valeur est New. Si une faille existante est mise à jour, la valeur est Update.
Créer un abonnement pull
Pour créer un abonnement pull, procédez comme suit :
Créez un abonnement pull. Vous pouvez utiliser la consoleGoogle Cloud , Google Cloud CLI ou l'API Pub/Sub.
Après avoir créé l'abonnement pull, commencez à interroger les messages à l'aide des bibliothèques clientes ou de la Google Cloud CLI.
Créer un abonnement push
Pour créer un abonnement push, configurez un serveur HTTPS avec un certificat qui n'est pas autosigné et qui est accessible sur Internet. Utilisez le modèle d'abonnement push de l'une des manières suivantes :
Si vous disposez d'un projet et d'un compte de service Google Cloud (par exemple, si vous avez intégré Assured OSS à Security Command Center) :
Comme Assured OSS vous autorise à créer des abonnements, vous pouvez créer vos propres abonnements push et les associer au point de terminaison de votre choix. Pour en savoir plus, consultez Abonnements push.
Si vous utilisez le niveau sans frais et que vous ne disposez pas d'un projet et d'un compte de service Google Cloud , saisissez le point de terminaison HTTPS dans le formulaire d'activation de l'accès ou de mise à jour des préférences de notification. L'équipe Assured OSS crée un abonnement push et associe le point de terminaison à cet abonnement.