在部署 AWS 基础设施之前，实施集中式自定义 Checkov 扫描以强制执行策略

创建一个中央 Checkov 存储库。

创建一个存储库来存储将在组织内使用的自定义 Checkov 策略。

为了快速入门，您可以将此模式 GitHub centralized-custom-checkov-sast 存储库的内容复制到中央的 Checkov 存储库中。

为可重复使用的工作流创建存储库。

如果可重复使用的工作流的存储库已存在，或者您计划在与自定义 Checkov 策略相同的存储库中包含可重复使用的工作流文件，则可以跳过此步骤。

创建 GitHub 存储库以保存可重复使用的工作流程。其他存储库的管道将引用此存储库。

添加可重复使用的 Checkov 工作流。

在可重复使用的工作流程存储库中创建可重复 GitHub 使用的 Checkov Actions 工作流程（YAML 文件）。您可以从此模式中提供的工作流文件中调整此可重复使用的工作流。

您可能想要进行的更改示例之一，是更改可重复使用的工作流以使用软失败选项。将 soft-fail 设置为 true，即使发生 Checkov 扫描失败仍允许作业成功完成。有关说明，请参阅 Checkov 文档中的硬失败和软失败。

添加示例工作流。

添加引用该 reusable 工作流的 Checkov 工作流示例。这将为 reusable 工作流的复用方式提供一个模板。在示例存储库中，checkov-source.yaml 是可重复使用的工作流，checkov-scan.yaml 是使用 checkov-source 的示例。

有关编写示例 Checkov 工作流的更多详细信息，请参阅其他信息。

确定可以通过 Checkov 强制执行的策略。

有关创建 Checkov 自定义策略的更多详细信息，请参阅 Checkov 文档中的自定义策略概述。

添加 Checkov 自定义策略。

将已确定的公司策略转换为中央存储库中的自定义 Checkov 策略。您可以用 Python 或 YAML 编写简单的 Checkov 策略。

将 Checkov 可重复使用的工作流添加到所有存储库。

此时，您应举出一个引用可重复使用工作流的 Checkov 工作流示例。将引用可重复使用工作流的示例 Checkov 工作流复制到每个需要它的存储库。

创建一种机制来确保 Checkov 在合并之前运行。

为确保每个拉取请求都运行 Checkov 工作流程，请创建一个状态检查，要求在合并拉取请求之前成功执行 Checkov 工作流程。 GitHub 允许您要求在合并拉取请求之前运行特定的工作流程。

创建组织范围的 PAT，并将其作为密钥共享。

如果您的 GitHub 组织是公开可见的，则可以跳过此步骤。

这种模式要求 Checkov 工作流程能够从 GitHub 组织中的自定义策略存储库下载自定义策略。您必须提供相关权限，这样 Checkov 工作流才能访问这些存储库。

为此，请创建拥有读取组织存储库权限的个人访问令牌（PAT）。与存储库共享此 PAT，可以作为组织范围的密钥（如果是付费计划），也可以是每个存储库中的密钥（免费版本）。在示例代码中，密钥的默认名称为 ORG_PAT。

（可选）保护 Checkov 工作流文件不被修改。

为了保护 Checkov 工作流文件免受不必要的更改，您可以使用 CODEOWNERS 文件。CODEOWNERS 文件通常部署在目录的根目录中。

例如，要要求在修改checkov-scan.yaml文件时获得 GitHub 组织secEng群组的批准，请将以下内容附加到存储库CODEOWNERS的文件中：

[Checkov]
.github/workflows/checkov-scan.yaml @myOrg/secEng

CODEOWNERS 文件特定于其所在的存储库。为了保护存储库使用的 Checkov 工作流，必须在每个存储库中添加（或更新）一个 CODEOWNERS 文件。

有关保护 Checkov 工作流文件的更多信息，请参阅其他信息。有关CODEOWNERS文件的更多信息，请参阅您的 CI/CD 提供商的官方文档（例如 GitHub）。