實作集中式自訂 Checkov 掃描，以在部署 AWS 基礎設施之前強制執行政策

建立中央 Checkov 儲存庫。

建立儲存庫以存放將在組織內使用的自訂 Checkov 政策。

為了快速入門，您可以將此模式的 GitHub centralized-custom-checkov-sast 儲存庫的內容複製到中央 Checkov 儲存庫。

建立可重複使用工作流程的儲存庫。

如果可重複使用工作流程的儲存庫已存在，或者您計劃在與自訂 Checkov 政策相同的儲存庫中包含可重複使用的工作流程檔案，您可以略過此步驟。

建立 GitHub 儲存庫以保留可重複使用的工作流程。其他儲存庫的管道將參考此儲存庫。

新增可重複使用的 Checkov 工作流程。

在可重複使用的工作流程儲存庫中建立可重複使用的 Checkov GitHub Actions 工作流程 (YAML 檔案）。您可以從此模式提供的工作流程檔案調整此可重複使用的工作流程。

您可能想要進行的變更範例是將可重複使用的工作流程變更為使用軟失敗選項。soft-fail 將 設定為 true 可讓任務順利完成，即使 Checkov 掃描失敗也一樣。如需說明，請參閱 Checkov 文件中的硬性與軟性故障。

新增範例工作流程。

新增參考工作流程的範例 Checkov reusable工作流程。這將提供範本，說明如何重複使用reusable工作流程。在範例儲存庫中， checkov-source.yaml 是可重複使用的工作流程，而 checkov-scan.yaml是使用 的範例checkov-source。

如需撰寫範例 Checkov 工作流程的詳細資訊，請參閱其他資訊。

決定可使用 Checkov 強制執行的政策。

如需建立 Checkov 自訂政策的詳細資訊，請參閱 Checkov 文件中的自訂政策概觀。

新增 Checkov 自訂政策。

將已識別的公司政策轉換為中央儲存庫中的自訂 Checkov 政策。您可以在 Python 或 YAML 中撰寫簡單的 Checkov 政策。

將 Checkov 可重複使用工作流程新增至所有儲存庫。

此時，您應該有一個參考可重複使用工作流程的範例 Checkov 工作流程。將參考可重複使用工作流程的範例 Checkov 工作流程複製到每個需要該工作流程的儲存庫。

建立機制以確保 Checkov 在合併之前執行。

為了確保針對每個提取請求執行 Checkov 工作流程，請建立需要成功 Checkov 工作流程才能合併提取請求的狀態檢查。GitHub 可讓您要求特定工作流程執行，才能合併提取請求。

建立整個組織的 PAT，並將其做為秘密共用。

如果您的 GitHub 組織可公開看見，您可以略過此步驟。

此模式需要 Checkov 工作流程能夠從 GitHub 組織中的自訂政策儲存庫下載自訂政策。您必須提供許可，讓 Checkov 工作流程可以存取這些儲存庫。

若要這樣做，請建立具有讀取組織儲存庫許可的個人存取字符 (PAT)。將此 PAT 與儲存庫共用，可以是整個組織的秘密 （如果在付費計劃中） 或每個儲存庫中的秘密 （免費版本）。在範例程式碼中，秘密的預設名稱為 ORG_PAT。

（選用） 防止 Checkov 工作流程檔案遭到修改。

若要保護 Checkov 工作流程檔案免於不必要的變更，您可以使用 CODEOWNERS 檔案。CODEOWNERS 檔案通常會部署在 目錄的根目錄中。

例如，若要在修改checkov-scan.yaml檔案時要求 GitHub 組織的 secEng 群組核准，請將以下內容附加至儲存庫的 CODEOWNERS 檔案：

[Checkov]
.github/workflows/checkov-scan.yaml @myOrg/secEng

CODEOWNERS 檔案專屬於其所在的儲存庫。若要保護儲存庫使用的 Checkov 工作流程，您必須在每個儲存庫中新增 （或更新） CODEOWNERS 檔案。

如需保護 Checkov 工作流程檔案的詳細資訊，請參閱其他資訊。如需CODEOWNERS檔案的詳細資訊，請參閱 CI/CD 提供者的官方文件 （例如 GitHub)。