Intégrer Azure Container Registry

Sécurisez vos applications conteneurisées en surveillant Azure Container Registry à la recherche de secrets exposés dans les images de conteneurs et les configurations Docker.

Pourquoi surveiller Azure Container Registry ?

Azure Container Registry héberge les images de conteneurs qui alimentent vos applications et services Azure. Ces images contiennent fréquemment des identifiants de service principal Azure, des clés de compte de stockage et des chaînes de connexion de base de données qui fournissent un accès direct à votre infrastructure Azure, faisant de toute exposition de secret une menace critique pour l'ensemble de votre environnement cloud.

Capacités

Fonctionnalité	Prise en charge	Détails
Scan historique	✅ (Pris en charge)	Analyse des images existantes et de leurs couches
Scan incrémental	✅ (Pris en charge)	Scan planifié régulier pour le nouveau contenu
Périmètre surveillé	✅ (Pris en charge)	Surveillance granulaire de vos dépôts
Périmètre d'équipe	✅ (Pris en charge)	Contrôle d'accès basé sur les équipes
Vérification de présence	❌ (Non pris en charge)	Toutes les occurrences sont considérées comme présentes
Visibilité des sources	❌ (Non pris en charge)	Toutes les sources sont considérées comme privées
Pièces jointes	N/A	Non applicable aux registres de conteneurs

Ce que nous scannons :

Toutes les couches des images de conteneurs
Les Dockerfiles et les configurations de build
Les variables d'environnement dans les métadonnées des images

info

Cette intégration scanne automatiquement vos dépôts surveillés, en téléchargeant les images Docker, ce qui peut entraîner des coûts de bande passante. Pour optimiser les coûts et réduire les faux positifs, sélectionnez soigneusement les sources à surveiller et utilisez notre fonctionnalité d'exclusion de chemins de fichiers.

info

Prérequis de plan : Disponible pour le plan GitGuardian Enterprise. Essayez-le gratuitement avec une période d'essai de 30 jours - tous les incidents détectés restent accessibles après la fin de l'essai.
Couverture des détecteurs : Pour minimiser les faux positifs, Generic High Entropy Secret et Generic Password sont désactivés. Tous les autres détecteurs sont activés.

Configurer votre intégration Azure Container Registry

Prérequis :

Un compte Owner ou Manager sur votre Dashboard GitGuardian
Des permissions d'administrateur Azure pour créer des tokens dans votre Azure Container Registry
- Connectivité réseau entre GitGuardian et vos services self-hosted. Découvrez GitGuardian Bridge pour permettre des connexions sécurisées entre GitGuardian SaaS et vos services self-hosted dans des réseaux privés.

GitGuardian s'intègre à Azure Container Registry via un Token avec un accès en lecture seule à vos dépôts.

Vous pouvez installer GitGuardian sur plusieurs instances Azure Container Registry pour surveiller vos dépôts.

Assurez-vous d'être connecté en tant qu'administrateur dans votre portail Azure
Parcourez vos Container Registries et sélectionnez celui que vous souhaitez intégrer
Accédez à la section Overview
Copiez le Login server
Accédez à la section Repository permissions > Tokens
Cliquez sur Add pour créer un nouveau token
Fournissez un nom de Token : GitGuardian
Cliquez sur Create new scope map
Nommez le Scope map (par exemple : gg-readonly)
Tapez * dans Repository pour les sélectionner tous
Sélectionnez content/read et metadata/read comme Permissions
Cliquez sur Create pour créer le nouveau scope map
Cliquez sur Create pour créer le nouveau token
Sélectionnez le token nouvellement créé
Cliquez sur password1 (vous avez 2 mots de passe par défaut)
Cliquez sur Generate pour générer un nouveau mot de passe
Copiez le Password
Dans la plateforme GitGuardian, naviguez vers la page intégration des Sources
Cliquez sur Install à côté d'Azure Container Registry dans la section Container registries
Sur la page intégration Azure Container Registry, le formulaire d'installation s'ouvre. Si vous avez déjà des installations, cliquez sur Install pour ajouter un autre registre.
Collez votre Login server (4) dans le champ Azure Container Registry URL, en commençant par https:// (par exemple : https://myregistry.azurecr.io/)
Collez le nom de votre Token (7) dans le champ Token name
Collez votre Password (17) dans le champ Token password
Cliquez sur Add
Dans la fenêtre modale Customize the monitored perimeter, choisissez ce que vous souhaitez surveiller et cliquez sur Ok, got it! :
- Monitor specific Azure Container Registry repositories (Recommandé)
  - Aucun dépôt n'est surveillé par défaut, vous devrez les sélectionner manuellement.
  - Les dépôts nouvellement créés ne seront pas surveillés par défaut. Vous pouvez ajuster ce paramètre à tout moment.
  - Recommandé pour optimiser vos coûts de bande passante.
- Monitor the entire Azure Container Registry registry
  - Tous les dépôts sont surveillés par défaut avec un scan historique complet déclenché automatiquement.
  - Les dépôts nouvellement créés seront surveillés par défaut. Vous pouvez ajuster ce paramètre à tout moment.

Et voilà ! Votre instance Azure Container Registry est maintenant installée, et GitGuardian surveille toutes les images Docker de vos dépôts sélectionnés à la recherche de secrets.

Personnaliser votre périmètre surveillé

Pour personnaliser les dépôts surveillés, naviguez vers vos paramètres Azure Container Registry.

Dans le tableau Sources, sélectionnez les dépôts à inclure ou à exclure
Cliquez sur Monitor ou Unmonitor

remarque

Les dépôts sont regroupés par registre, puis par namespace : team/app/api se trouve dans le dossier team > app. Si vous renommez un namespace dans Azure, GitGuardian voit le dépôt comme une nouvelle source. L'ancienne source est retirée de votre périmètre mais conserve ses incidents.

Surveillance automatique des dépôts

Vous pouvez activer ou désactiver l'ajout automatique des dépôts nouvellement créés à votre périmètre surveillé avec le bouton Automatically monitor new repositories dans vos paramètres Azure Container Registry. Azure Container Registry Automatic Repository Monitoring

Dépanner une installation

Le tableau Installations dans vos paramètres Azure Container Registry affiche le Status de chaque registre. Lorsqu'un registre est en mauvais état, cliquez sur Troubleshoot pour en voir la cause, puis :

Cliquez sur Check again pour les problèmes temporaires, tels que les erreurs réseau ou la limitation de débit
Cliquez sur Update credentials lorsque le token n'est plus valide ou ne peut plus lister et extraire depuis le registre, et saisissez un nouveau Token name et Token password

Comprendre les capacités de scan

Scan historique

Découvrez votre dette de secrets : lors de votre première intégration de cette source, GitGuardian effectue un scan complet de l'intégralité de l'historique de votre contenu, en fonction de votre périmètre personnalisé. Cela révèle des secrets qui ont pu être exposés il y a des semaines, des mois, voire des années — vous aidant ainsi à traiter votre dette de sécurité existante.

Comment déclencher un scan historique : rendez-vous sur votre page de périmètre, sélectionnez les sources que vous souhaitez scanner, puis cliquez sur Scan dans la barre d'actions groupées. Consultez Gérer votre périmètre surveillé pour connaître les limites de taille selon votre plan, la gestion des erreurs et tous les détails.

Scan incrémental

Restez protégé grâce à une surveillance régulière : une fois intégrée, GitGuardian assure une protection continue grâce à des scans automatisés planifiés de votre contenu. Le contenu nouveau et modifié est surveillé de manière systématique à intervalles réguliers, garantissant une couverture complète et une détection rapide de toute exposition de secret. Votre source reste sous la protection de GitGuardian, vous donnant l'assurance qu'aucun secret ne passera inaperçu.

Désinstaller votre instance Azure Container Registry

Pour désinstaller une instance Azure Container Registry :

Naviguez vers vos paramètres Azure Container Registry
Dans le tableau Installations, cliquez sur l'icône de corbeille à côté du registre à désinstaller
Confirmez en cliquant sur Yes, uninstall dans la fenêtre modale de confirmation

Et voilà ! Votre instance Azure Container Registry est maintenant désinstallée.

Chemins exclus

GitGuardian exclut automatiquement les fichiers de l'analyse si leurs chemins contiennent l'une de ces expressions régulières :

/__pypackages__/
/\.venv/
/\.tox/
/site-packages/
/venv/
distutils/command/register\.py
python.*/awscli/examples/
python.*/dulwich/(tests|contrib/test_)
python.*/hgext/bugzilla\.py
python.*/mercurial/util\.py
python.*/test/certdata/
python.*/urllib/request\.py
python.*/pygments/lexers/
/cryptography.+/tests/.+(fixtures|test)_.+\.py
/python.+pygpgme.+/tests/
botocore/data/.+/(examples|service)-.+\.json
usr(/local)?/lib/python.+/dist-packages
/libevent.+/info/test/test/
/conda-.+-py.+/info/test/tests.+/test_.+\.py
/python[^/]+/test/
/man/man5/kdc\.conf\.5
erlang.*(inets|ssl).*/examples/
/gems/.*httpclient.*/(test|sample)/
/gems/.*faraday.*/
/vendor/bundle/
/\.gem/
ruby-[^/]+/test/openssl/
/(g|G)o/src/cmd/go/internal/.*_test\.go
/(g|G)o/src/cmd/go/internal/.*/testdata/
/(g|G)o/src/cmd/go/testdata/
/(g|G)o/src/crypto/x509/platform_root_key\.pem
/(G|g)o/src/crypto/(tls|x509)/.*_test\.go
/(g|G)o/src/net/(url|http)/.*_test\.go
src/github.com/DataDog/datadog-agent/.*test.*\.go
google/internal/.*_test\.go
golang.org.*oauth2@.*/.*\.go
/flutter/.*/packages/flutter_tools/test/data/
/flutter/.*/examples/image_list/lib
/\.pub-cache
etc/ssl/private/ssl-cert-snakeoil\.key
perl.*Cwd\.pm
ansible/.*/tests/(integration|unit)/
ansible/.*/test/awx
ansible/collections/ansible_collections/.*/plugins/
/curl/.*/(tests|docs|lib/url\.c)
/doc/wget.+/NEWS
dist/awscli/examples/
usr(/local)?/lib/aws-cli/examples/
/google-cloud-sdk/(lib|platform)/
\.git/modules/third[-_]?party/
\.git/modules/external/
/\.npm/_cacache
/node_modules/
/\.parcel-cache/
/\.yarn/cache/
/\.m2/
/\.ivy2/cache/
/\.mix/
/\.hex/
/composer/cache/
/\.nuget/packages/
/libgpg-error/errorref\.txt
/Homebrew/Library/Taps/
/tcl[^/]+/http-.+\.tm
/tcl[^/]+/[^/]+/http-.+\.tm
usr/share/lua/[^/]+/posix/init\.lua
openssl/openssl-[^/]+/test/recipes/
usr/share/doc/libssl-doc/demos/
boringssl/src/third_party/[^/]+test[^/]+/[^/]+_test\.json

Considérations supplémentaires pour Self-Hosted

Pour les instances GitGuardian Self-Hosted, la fréquence de scan peut être configurée dans l'Admin Area :

Unité d'intervalle de temps : secondes
Valeur par défaut : 86400 (1 jour)
Valeur minimale : 1800 (30 minutes)

Confidentialité et conformité

Gestion des données

GitGuardian traite vos données uniquement pour détecter les secrets exposés :

Accès en lecture seule : nous ne demandons jamais l'accès en écriture sauf s'il est limité à la création de webhooks pour recevoir et traiter les événements en temps réel
Rétention minimale des données : nous ne stockons que les données et métadonnées nécessaires à la gestion des incidents
Chiffrement : toutes les données en transit et au repos sont chiffrées
Conformité : nous suivons les mêmes standards de protection des données que nos autres intégrations

Considérations régionales

GitGuardian héberge ses services dans deux régions AWS : eu-central-1 (Francfort) et us-west-2 (Oregon). Assurez-vous que votre région de déploiement GitGuardian s'aligne avec vos exigences de résidence des données. Contactez le support si vous avez besoin de conseils sur la conformité aux réglementations locales.

Notification des utilisateurs

Les lois et réglementations propres à chaque pays peuvent vous obliger à informer vos utilisateurs que vos dépôts sont scannés à la recherche de secrets. Voici une suggestion de message que vous pourriez utiliser :

Dans le cadre de notre processus interne de sécurité de l'information, l'entreprise scanne ses dépôts à la recherche de fuites potentielles de secrets à l'aide de GitGuardian. Toutes les données collectées seront traitées dans le but de détecter les fuites potentielles. Pour en savoir plus sur la manière dont nous gérons vos données personnelles et pour exercer vos droits, veuillez vous référer à notre avis de confidentialité employé/partenaire.

Veuillez noter que seuls les dépôts relatifs à l'activité et aux affaires de l'entreprise peuvent être surveillés et que les utilisateurs doivent s'abstenir de partager des données personnelles ou sensibles non pertinentes au regard de l'objectif du dépôt.