Checkov项目从v2迁移到v3版本的重要变更指南

Checkov项目从v2迁移到v3版本的重要变更指南

checkov checkov能对 Terraform、CloudFormation、Kubernetes 等多种IaC模板进行自动化的安全性和合规性审查，有助于在部署阶段就发现并修复基础设施相关的安全风险。 项目地址: https://gitcode.com/gh_mirrors/ch/checkov

前言

Checkov作为一款流行的基础设施即代码(IaC)静态分析工具，在其v3版本中引入了一些重要的行为变更和功能移除。本文将详细介绍这些变更内容，帮助用户顺利完成从v2到v3版本的迁移。

主要变更概览

v3版本不仅增加了新功能，还对以下行为进行了修改或完全移除：

1. 移除了"level up"流程
2. 优化了Python自定义检查的语法
3. 增加了仓库ID的强制要求
4. 移除了多个已弃用的标志参数

详细变更说明

1. "level up"流程移除

背景：
在v2版本中，当用户仅运行checkov命令而不带任何标志时，会触发"level up"流程。

变更内容：
v3版本中已完全移除了这一功能。这是因为相关服务将在2023年底停止运营。

影响：
用户需要明确指定扫描目标和相关参数来运行Checkov，不能再依赖默认行为。

2. Python自定义检查语法优化

旧语法示例：

def scan_resource_conf(self, conf: dict[str, list[Any]], entity_type: str) -> CheckResult:
    ...

新语法改进：

def scan_resource_conf(self, conf: dict[str, list[Any]]) -> CheckResult:
    if self.entity_type == 'aws_instance':
        ...
    ...

改进点：

• 移除了显式的entity_type参数
• 通过self.entity_type属性访问资源类型
• 保持了向后兼容性
• 代码更加简洁

迁移建议： 检查所有自定义检查脚本，移除entity_type参数并改用self.entity_type属性。

3. 仓库ID成为必填项

变更内容：
使用API密钥运行Checkov时，现在必须通过--repo-id标志指定仓库ID。

示例命令：

checkov -d. --bc-api-key xyz --repo-id example/example

影响范围：
所有通过API密钥进行集成的场景都需要更新命令或自动化脚本。

4. 已弃用标志的移除

被移除的标志：

• --no-guide
• --skip-suppressions
• --skip-policy-download

替代方案：
这些功能已被合并，统一由--skip-download标志替代。

迁移步骤：

1. 检查所有脚本和自动化流程
2. 将上述三个标志替换为--skip-download
3. 测试替换后的行为是否符合预期

迁移检查清单

为了确保顺利迁移到v3版本，请完成以下检查：

1. [ ] 更新所有仅运行checkov而不带参数的场景
2. [ ] 检查并更新所有自定义Python检查脚本
3. [ ] 为所有使用API密钥的场景添加--repo-id参数
4. [ ] 替换所有已弃用的标志为--skip-download
5. [ ] 全面测试更新后的配置

结语

Checkov v3版本的这些变更是为了提供更清晰、更一致的开发体验。虽然迁移需要一些工作，但这些改进将为未来的功能扩展奠定更好的基础。建议用户在测试环境中充分验证这些变更后再部署到生产环境。

checkov checkov能对 Terraform、CloudFormation、Kubernetes 等多种IaC模板进行自动化的安全性和合规性审查，有助于在部署阶段就发现并修复基础设施相关的安全风险。 项目地址: https://gitcode.com/gh_mirrors/ch/checkov