GitLab 14.5免費提供基礎設施即程式碼安全掃描

GitLab推出最新的14.5版本，這個版本的亮點在於增加了對基礎設施即程式碼（Infrastructure as Code，IaC）檔案進行掃描，透過更主動的掃描行動，進一步增加了用戶的安全。另外，其他更新還有群組層級的合併請求批准配置，以及GitLab Free計畫現在也可以使用Kubernetes代理。

在Gitlab 14.5中，官方加入對基礎設施即程式碼配置檔案的安全掃描功能，與Gitlab的SAST掃描器一樣，所有用戶都能夠免費使用該功能，官方希望在基礎設施即程式碼興起的當前，能夠鼓勵程式開發安全實踐。

這個初始的基礎設施即程式碼掃描器，支援Terraform、Ansible、AWS CloudFormation和Kubernetes的配置檔案，並且以開源KICS（Keeping Infrastructure as Code Secure）專案作為基礎。

這個新的掃描器加入了Gitlab現有的Kubernetes清單SAST掃描器，當用戶原本就熟悉GitLab SAST，那使用起來就會更簡單上手，因為基礎設施即程式碼掃描的持續整合配置，跟SAST的完全相同，並且支援相同的功能，包括獨立的基礎設施即程式碼持續整合配置檔案，以及安全配置頁面上的啟用工具，還有所有針對Ultimate層級用戶，所提供的漏洞管理功能，像是安全儀表板和合併請求小工具。

而這個基礎設施即程式碼掃描器的設計，也非常易於擴充，除了官方提供的掃描器，用戶也可以使用其他掃描器來擴充基礎設施即程式碼安全掃描。

而群組層級的合併請求批准配置功能的更新，則是Gitlab現在讓用戶可以在群組層級，定義和強制執行合併請求批准配置的數值，這些數值將會被其他群組中的專案所使用。

官方提到，群組層級的合併請求批准功能，讓組織可以更輕鬆地確保團隊間的職責分離，用戶現在只需要在一個位置指定配置，就能更新和監控每個專案，其具體好處有二，除了專案可以使用一致的職責分離流程之外，還能不需要手動檢查每個專案，是否完成配置修改。

在這個版本，官方向Free層級開放更多的功能，過去GitLab Kubernetes代理僅提供給Premium層級使用者，而現在官方將GitLab Kubernetes代理和CI/CD Tunnel等核心功能，下放給Free層級用戶。

透過GitLab Kubernetes代理連接Kubernetes叢集，能夠簡化叢集應用程式的配置，並實現叢集安全GitOps的部署，官方提到，他們希望藉由開源功能，吸引更多沒有專門基礎設施團隊，或是對叢集管理有強烈需求的用戶。