この DevSecOps プロジェクトでは、利用可能なビルドにどの依存ファイルを含めてよいかを判断します。用意されたチケット料金ツールを修復し、同じ方法をワークショップの資材窓口に応用します。
2 つのガイド付きラボで取得元の選択と依存関係全体のハッシュを学びます。独立したチャレンジではパッケージの関係を変更しますが、ツールとインストールの呼び出し規約は同じです。
学習内容
- 直接依存と間接依存を識別し、2 つ目の pip インデックスが低優先度の予備ではない理由を説明する。
- 別々の Python 環境で承認済みパッケージを再構築し、完全で正確な料金表を渡す。
- 独立して承認されたハッシュで、名前とバージョンが同じでもバイト列が異なる wheel を拒否する。
- 正当なミラー、引用符で囲んだパス、アプリの動作、元の注文データを維持する。
このコースの対象者
cd、cat などの基本的な端末操作と短いテキスト編集ができる DevSecOps 初学者向けです。Python プログラミング、Docker、クラウドアカウントは不要です。最初のラボで仮想環境、pip のオプション、短い Shell インストール手順を説明します。
学習環境： 各ラボは独立して開始します。ブラウザーの Linux 端末には Python、pip、独自の合成 wheel、ローカル取得元が準備されています。
よくある質問
公開パッケージを公開したり攻撃したりする必要はありますか。
ありません。取得元とパッケージはすべて管理された学習環境内にあります。代替パッケージは例の計算結果だけを変えます。
ハッシュが一致すれば安全といえますか。
独立して提供された承認内容とバイト列が一致することを示します。公開者の身元や脆弱性がないことは証明しません。
何を完成させますか。
再利用できるインストール手順、実際の承認済み環境、正しい CSV の引き渡しです。チャレンジでは直接依存と間接依存の差し替えを拒否し、未変更のミラーを受け入れる必要もあります。
