Intégrer Azure Container Registry

Sécurisez vos applications conteneurisées en surveillant Azure Container Registry pour détecter les secrets exposés dans les images de conteneurs et les configurations Docker.

Pourquoi surveiller Azure Container Registry ?

Azure Container Registry héberge les images de conteneurs qui font fonctionner vos applications et services Azure. Ces images contiennent fréquemment des identifiants de service principal Azure, des clés de comptes de stockage et des chaînes de connexion à la base de données qui fournissent un accès direct à votre infrastructure Azure, ce qui rend toute exposition de secret une menace critique pour l'ensemble de votre environnement cloud.

Capacités

Fonctionnalité	Prise en charge	Détails
Scan historique	✅ (Pris en charge)	Analyse les images existantes et leurs couches
Scan incrémental	✅ (Pris en charge)	Scan régulier planifié pour le nouveau contenu
Périmètre surveillé	✅ (Pris en charge)	Surveillance granulaire de vos repositories
Périmètre d'équipe	✅ (Pris en charge)	Contrôle d'accès basé sur les équipes
Vérification de présence	❌ (Non pris en charge)	Toutes les occurrences sont considérées comme présentes
Visibilité de la source	❌ (Non pris en charge)	Toutes les sources sont considérées comme privées
Pièces jointes	N/A	Non applicable pour les registres de conteneurs

Ce que nous scannons :

Toutes les couches d'images de conteneurs
Dockerfiles et configurations de build
Variables d'environnement dans les métadonnées d'images

info

Cette intégration scanne automatiquement vos repositories surveillés, en téléchargeant les images Docker, ce qui peut entraîner des coûts de bande passante. Pour optimiser les coûts et réduire les faux positifs, sélectionnez soigneusement les sources à surveiller et utilisez notre fonctionnalité d'exclusion de chemin de fichier.

info

Exigences de plan : disponible pour les plans GitGuardian Business et Enterprise. Essayez-le gratuitement avec un essai de 30 jours - tous les incidents détectés restent accessibles après la fin de l'essai.
Couverture des détecteurs : pour minimiser les faux positifs, Generic High Entropy Secret et Generic Password sont désactivés. Tous les autres détecteurs sont activés.

Configurer votre intégration Azure Container Registry

Prérequis :

Compte Owner ou Manager sur votre tableau de bord GitGuardian
Permissions admin Azure pour créer des tokens dans votre Azure Container Registry

Connectivité réseau entre GitGuardian et vos services self-hosted. Découvrez GitGuardian Bridge pour permettre des connexions sécurisées entre GitGuardian SaaS et vos services self-hosted dans des réseaux privés.

GitGuardian s'intègre à Azure Container Registry via un Token avec un accès en lecture seule à vos repositories.

Vous pouvez installer GitGuardian sur plusieurs instances Azure Container Registry pour surveiller vos repositories.

Assurez-vous d'être connecté en tant qu'administrateur dans votre Portail Azure
Parcourez vos Container Registries et sélectionnez celui que vous souhaitez intégrer
Allez dans la section Overview
Copiez le Login server
Allez dans la section Repository permissions > Tokens
Cliquez sur Add pour créer un nouveau token
Fournissez un nom de Token : GitGuardian
Cliquez sur Create new scope map
Nommez le Scope map (par exemple : gg-readonly)
Tapez * dans Repository pour les sélectionner tous
Sélectionnez content/read et metadata/read comme Permissions
Cliquez sur Create pour créer le nouveau scope map
Cliquez sur Create pour créer le nouveau token
Sélectionnez le token nouvellement créé
Cliquez sur password1 (Vous avez 2 mots de passe par défaut)
Cliquez sur Generate pour générer un nouveau mot de passe
Copiez le Password
Dans la plateforme GitGuardian, accédez à la page Sources integration
Cliquez sur Install à côté de Azure Container Registry dans la section Container registries
Cliquez sur Install sur la page Azure Container Registry integration
Collez votre Login server (4) dans le champ Azure Container Registry instance URL (Complétez avec https:// au début de l'URL si manquant)
Collez votre Password (13) dans le champ Personal Access Token
Collez votre nom de Token (7) dans le champ Username
Cliquez sur Add
Personnalisez votre périmètre surveillé :
- Surveiller des repositories Azure Container Registry spécifiques (Recommandé)
  - Aucun repository n'est surveillé par défaut, vous devrez les sélectionner manuellement.
  - Les repositories nouvellement créés ne seront pas surveillés par défaut. Vous pouvez ajuster ce paramètre à tout moment.
  - Recommandé pour optimiser vos coûts de bande passante.
- Surveiller l'ensemble de l'instance Azure Container Registry
  - Tous les repositories sont surveillés par défaut avec un scan historique complet déclenché automatiquement.
  - Les repositories nouvellement créés seront surveillés par défaut. Vous pouvez ajuster ce paramètre à tout moment.

C'est tout ! Votre instance Azure Container Registry est maintenant installée, et GitGuardian surveille toutes les images Docker de vos repositories sélectionnés à la recherche de secrets.

Personnaliser votre périmètre surveillé

Pour personnaliser les repositories surveillés, accédez à vos paramètres Azure Container Registry.

Sélectionnez/désélectionnez les repositories pour les inclure ou les exclure de la surveillance
Confirmez en cliquant sur Update monitored perimeter

Surveillance automatique des repositories

Vous pouvez activer ou désactiver l'ajout automatique des repositories nouvellement créés à votre périmètre surveillé en basculant l'option dans vos paramètres Azure Container Registry. Azure Container Registry Automatic Repository Monitoring

Comprendre les capacités d'analyse

Analyse historique

Découvrir votre dette de secrets : lors de votre première intégration de cette source, GitGuardian effectue une analyse complète de tout votre historique de contenu, basée sur votre périmètre personnalisé. Cela révèle les secrets qui peuvent avoir été exposés il y a des semaines, des mois, voire des années — vous aidant à traiter votre dette de sécurité existante.

Analyse incrémentale

Restez protégé avec une surveillance régulière : une fois intégré, GitGuardian fournit une protection continue grâce à des analyses automatisées planifiées de votre contenu. Le contenu nouveau et modifié est systématiquement surveillé à intervalles réguliers, garantissant une couverture complète et une détection rapide de toute exposition de secret. Votre source reste sous la protection de GitGuardian, vous donnant la confiance que les secrets ne passeront pas inaperçus.

Gérer votre intégration

Surveillance de la santé et maintenance

Si vous devez modifier les paramètres de votre intégration ou résoudre des problèmes de connectivité, accédez à l'interface de gestion via Sources integration.

Désinstaller l'intégration

Bien que notre objectif soit de vous aider à maintenir une couverture de sécurité complète, vous pouvez désinstaller l'intégration chaque fois que nécessaire :

Naviguez vers Sources integration
Cliquez sur Edit à côté du nom de l'intégration
Cliquez sur Configure
Cliquez sur l'icône delete à côté de votre ressource
Confirmez la suppression

Note : la suppression de l'intégration préserve votre historique d'incidents, mais arrête les analyses futures et les vérifications de présence pour les intégrations qui le supportent.

Pour désinstaller une instance Azure Container Registry :

Dans la plateforme GitGuardian, accédez à la page Sources integration
Cliquez sur Edit à côté de Azure Container Registry dans la section Container registries
Cliquez sur l'icône corbeille à côté de l'instance Azure Container Registry à désinstaller
Confirmez en cliquant sur Yes, uninstall dans la fenêtre de confirmation

C'est tout ! Votre instance Azure Container Registry est maintenant désinstallée.

Chemins exclus

GitGuardian exclut automatiquement les fichiers de l'analyse si leurs chemins contiennent l'une de ces expressions régulières :

/__pypackages__/
/\.venv/
/\.tox/
/site-packages/
/venv/
distutils/command/register\.py
python.*/awscli/examples/
python.*/dulwich/(tests|contrib/test_)
python.*/hgext/bugzilla\.py
python.*/mercurial/util\.py
python.*/test/certdata/
python.*/urllib/request\.py
python.*/pygments/lexers/
/cryptography.+/tests/.+(fixtures|test)_.+\.py
/python.+pygpgme.+/tests/
botocore/data/.+/(examples|service)-.+\.json
usr(/local)?/lib/python.+/dist-packages
/libevent.+/info/test/test/
/conda-.+-py.+/info/test/tests.+/test_.+\.py
/python[^/]+/test/
/man/man5/kdc\.conf\.5
erlang.*(inets|ssl).*/examples/
/gems/.*httpclient.*/(test|sample)/
/gems/.*faraday.*/
/vendor/bundle/
/\.gem/
ruby-[^/]+/test/openssl/
/(g|G)o/src/cmd/go/internal/.*_test\.go
/(g|G)o/src/cmd/go/internal/.*/testdata/
/(g|G)o/src/cmd/go/testdata/
/(g|G)o/src/crypto/x509/platform_root_key\.pem
/(G|g)o/src/crypto/(tls|x509)/.*_test\.go
/(g|G)o/src/net/(url|http)/.*_test\.go
src/github.com/DataDog/datadog-agent/.*test.*\.go
google/internal/.*_test\.go
golang.org.*oauth2@.*/.*\.go
/flutter/.*/packages/flutter_tools/test/data/
/flutter/.*/examples/image_list/lib
/\.pub-cache
etc/ssl/private/ssl-cert-snakeoil\.key
perl.*Cwd\.pm
ansible/.*/tests/(integration|unit)/
ansible/.*/test/awx
ansible/collections/ansible_collections/.*/plugins/
/curl/.*/(tests|docs|lib/url\.c)
/doc/wget.+/NEWS
dist/awscli/examples/
usr(/local)?/lib/aws-cli/examples/
/google-cloud-sdk/(lib|platform)/
\.git/modules/third[-_]?party/
\.git/modules/external/
/\.npm/_cacache
/node_modules/
/\.parcel-cache/
/\.yarn/cache/
/\.m2/
/\.ivy2/cache/
/\.mix/
/\.hex/
/composer/cache/
/\.nuget/packages/
/libgpg-error/errorref\.txt
/Homebrew/Library/Taps/
/tcl[^/]+/http-.+\.tm
/tcl[^/]+/[^/]+/http-.+\.tm
usr/share/lua/[^/]+/posix/init\.lua
openssl/openssl-[^/]+/test/recipes/
usr/share/doc/libssl-doc/demos/
boringssl/src/third_party/[^/]+test[^/]+/[^/]+_test\.json

Considérations supplémentaires Self-Hosted

Pour les instances GitGuardian Self-Hosted, la fréquence de scan peut être configurée dans l'Admin Area :

Unité d'intervalle de temps : secondes
Valeur par défaut : 86400 (1 jour)
Valeur minimale : 1800 (30 minutes)

Confidentialité et conformité

Gestion des données

GitGuardian traite vos données uniquement pour détecter les secrets exposés :

Accès en lecture seule : nous ne demandons jamais l'accès en écriture sauf s'il est limité à la création de webhooks pour recevoir et traiter les événements en temps réel
Rétention minimale des données : nous ne stockons que les données et métadonnées nécessaires à la gestion des incidents
Chiffrement : toutes les données en transit et au repos sont chiffrées
Conformité : nous suivons les mêmes standards de protection des données que nos autres intégrations

Considérations régionales

GitGuardian héberge ses services dans deux régions AWS : eu-central-1 (Francfort) et us-west-2 (Oregon). Assurez-vous que votre région de déploiement GitGuardian s'aligne avec vos exigences de résidence des données. Contactez le support si vous avez besoin de conseils sur la conformité aux réglementations locales.

Notification des utilisateurs

Les lois et réglementations spécifiques à chaque pays peuvent vous obliger à informer vos utilisateurs que vos repositories sont scannés à la recherche de secrets. Voici une suggestion de message que vous pouvez utiliser :

Dans le cadre de notre processus interne de sécurité de l'information, l'entreprise scanne ses repositories à la recherche de fuites potentielles de secrets en utilisant GitGuardian. Toutes les données collectées seront traitées dans le but de détecter d'éventuelles fuites. Pour en savoir plus sur la façon dont nous gérons vos données personnelles et exercer vos droits, veuillez vous référer à notre notice de confidentialité employé/partenaire.

Veuillez noter que seuls les repositories relatifs à l'activité et au business de l'entreprise peuvent être surveillés et que les utilisateurs doivent s'abstenir de partager des données personnelles ou sensibles non pertinentes pour l'objectif du repository.