The GitHub Blog
·
如何使用GitHub与JFrog的集成实现从提交到生产的安全可追溯构建
💡
原文英文，约1100词，阅读约需4分钟。
📝
内容提要
GitHub与JFrog的新集成简化了开发流程，提升了安全性与可追溯性。该集成自动进行安全扫描，确保构建与工件之间的加密链接，使开发者能更专注于功能开发，并实现从开发到生产的无缝过渡。
🎯
关键要点
- GitHub与JFrog的新集成简化了开发流程，提升了安全性与可追溯性。
- 该集成自动进行安全扫描，确保构建与工件之间的加密链接。
- 集成解决了开发者在多个工具之间跳转的问题，节省了时间和精力。
- 现代软件交付是一个供应链，所有环节需要安全、可追溯和自动化。
- 集成设计了一个工作流程，将触发构建的提交与生成的工件进行加密链接。
- 开发者可以运行统一的安全扫描，并根据生产环境上下文优先处理Dependabot警报。
- 集成通过安全认证和构建元数据连接GitHub与JFrog的软件供应链平台。
- 设置集成需要在JFrog Artifactory中启用GitHub集成，并创建拉取请求。
- 构建完成后，工件将被推送到JFrog Artifactory的暂存库，准备验证。
- 一旦工件被验证，JFrog可以自动将证明从开发环境提升到生产环境。
- 集成使得工件生命周期数据自动推送到GitHub，确保Dependabot能够及时扫描。
- 建议使用OIDC避免在工作流中使用长期凭证，并自动化工件的提升过程。
- 可以立即启用GitHub与JFrog的集成，构建更安全、自动化和可追溯的软件供应链。
❓
延伸问答
GitHub与JFrog的集成有什么主要优势？
该集成简化了开发流程，提升了安全性与可追溯性，自动进行安全扫描，确保构建与工件之间的加密链接。
如何设置GitHub与JFrog的集成？
在JFrog Artifactory中启用GitHub集成，创建拉取请求，并确保GitHub Actions工作流使用相关的动作。
集成后如何处理安全扫描和Dependabot警报？
集成允许运行统一的安全扫描，并根据生产环境上下文优先处理Dependabot警报。
集成如何确保构建与工件的可追溯性？
集成通过将触发构建的提交与生成的工件进行加密链接，确保完整的生命周期可视性。
使用GitHub与JFrog集成的最佳实践是什么？
建议使用OIDC避免长期凭证，自动化工件的提升过程，并在早期设置安全门，以防止不合格的构建进入生产。
集成后如何处理工件的生命周期数据？
工件生命周期数据会自动推送到GitHub，确保Dependabot能够及时扫描并处理依赖和漏洞。
➡️
