//TAG

CI/CD

10 tulisan

DevSecOps · 21 menit baca

Bagian 10: CI Mengambil Token Dokploy dari Vault lewat GitHub OIDC, dan Penutup Seri

Menghapus API key Dokploy dari GitHub: job deploy login ke Vault pakai OIDC token GitHub, dapat token Vault 5 menit yang cuma bisa membaca satu path. Ditutup dengan rangkuman seri, risiko yang diterima, dan ide lanjutan.

DevSecOps · 19 menit baca

Bagian 9: Proses Exception untuk Temuan Security yang Belum Bisa Diperbaiki

Cara menerima temuan security secara resmi: satu exception per temuan, ada owner, alasan, dan tanggal kedaluwarsa maksimal 90 hari, ditegakkan oleh required check dan cek mingguan.

DevSecOps · 20 menit baca

Bagian 8: Workflow Deploy, Build Sekali, Scan, SBOM, GHCR, lalu Promosi ke Production

Workflow deploy yang membangun image sekali di development, men-scan dengan Trivy, membuat SBOM, push ke GHCR, deploy ke Dokploy, lalu mempromosikan image yang sama ke production setelah approval.

DevSecOps · 19 menit baca

Bagian 7: Menyiapkan Environment Dev dan Production di Dokploy

Dua service Compose di Dokploy, satu untuk dev dan satu untuk production, masing-masing dengan AppRole Vault sendiri, domain HTTPS lewat Traefik, dan auto-deploy yang sengaja dimatikan supaya hanya CI yang boleh deploy.

DevSecOps · 18 menit baca

Bagian 6: Ruleset yang Memblokir Merge, dan Lima Demo PR yang Harus Gagal

Check merah tanpa ruleset cuma saran. Di bagian ini saya memasang ruleset tanpa bypass di development dan main, lalu membuktikannya dengan lima PR jahat yang semuanya diblokir.

DevSecOps · 18 menit baca

Bagian 5: Repo GitHub dan Workflow PR sebagai Security Gate

Repo publik dengan pengaturan keamanan yang benar, lalu workflow pr-checks berisi tujuh pemeriksaan: test, Gitleaks, Semgrep, govulncheck, dependency review, Trivy config, dan Trivy image. Plus gate asal branch untuk PR ke main.

DevSecOps · 19 menit baca

Bagian 4: Vault Agent Sidecar dan Docker Compose, Secret Masuk Tanpa App Tahu Vault Ada

Container vault-agent login ke Vault pakai AppRole, me-render config.json ke volume tmpfs dengan izin 0400, lalu app membacanya read-only. Plus cara menguji semuanya di laptop memakai Vault dev server.

DevSecOps · 17 menit baca

Bagian 3: Aplikasi Go Kecil yang Membaca Secret dari File dan Menolak Jalan Kalau Config Salah

Membangun secure-cicd-go: API Go kecil dengan JWT HS256 dan AES-256-GCM yang membaca secret dari file, berhenti kalau config tidak valid, melaporkan commit lewat /version, dan dikemas di image distroless non-root.

DevSecOps · 7 menit baca

Bagian 1: Kenapa Saya Bikin Secure CI/CD Pipeline, dan Persiapan Tools-nya

Gambaran besar proyek secure-cicd-go: masalah yang mau diselesaikan, alur dari PR sampai production, daftar security gate, dan tools yang perlu dipasang sebelum mulai.

DevSecOps · 12 menit baca

Bagian 2: Vault, Secret, Policy, dan AppRole per Environment

Menyiapkan secret di Vault KV v2, policy read-only per environment, dan AppRole terpisah untuk dev dan production, lalu membuktikan kredensial dev ditolak di production.