Paramètres de sécurité et de conformité

{{< details >}}

• Niveau : Ultimate
• Offre : GitLab Self-Managed, GitLab Dedicated

{{< /details >}}

Analyse des dépendances {#dependency-scanning}

Limites de l'API SBOM Scan {#sbom-scan-api-limits}

La fonctionnalité d'analyse des dépendances utilisant SBOM utilise une API interne avec des limites prédéfinies.

Prérequis :

• Accès administrateur.

Pour configurer des valeurs différentes pour ces limites :

1. Dans le coin supérieur droit, sélectionnez Admin.
2. Dans la barre latérale gauche, sélectionnez Paramètres > Sécurité et conformité.
3. Développez Analyse des dépendances.
4. Modifiez la valeur de n'importe quelle limite de débit, ou définissez une limite de débit sur 0 pour la désactiver.
5. Sélectionnez Sauvegarder les modifications.

Synchronisation de la base de données des métadonnées de paquets {#package-metadata-database-synchronization}

Choisir les métadonnées du registre de paquets à synchroniser {#choose-package-registry-metadata-to-sync}

Pour choisir les paquets que vous souhaitez synchroniser avec la base de données des métadonnées de paquets GitLab (PMDB) pour la conformité des licences et l'analyse continue des vulnérabilités :

1. Dans le coin supérieur droit, sélectionnez Admin.
2. Dans la barre latérale gauche, sélectionnez Paramètres > Sécurité et conformité.
3. Développez Conformité de licence.
4. Dans Métadonnées du registre de paquets à synchroniser, cochez ou décochez les cases correspondant aux registres de paquets que vous souhaitez synchroniser.
5. Sélectionnez Sauvegarder les modifications.

Pour que cette synchronisation des données fonctionne, vous devez autoriser le trafic réseau sortant de votre instance GitLab vers le domaine storage.googleapis.com. Consultez également les instructions de configuration hors ligne décrites dans Activation de la base de données des métadonnées de paquets.

Considérations de sécurité {#security-considerations}

PMDB est un service qui publie des données de licence et d'avis de sécurité dans des buckets Google Cloud Storage accessibles au public (en lecture seule). Les buckets peuvent être lus par n'importe qui, mais seuls les mainteneurs GitLab autorisés disposent d'un accès en écriture via les contrôles IAM. GitLab ingère en continu des données depuis une base de données PostgreSQL sécurisée et les exporte en utilisant un service privé avec authentification OIDC. Les instances GitLab synchronisent les données depuis les buckets publics, effectuent une validation de schéma, puis insèrent ou mettent à jour les données validées dans la base de données GitLab.