//TAG
10 tulisan
DevSecOps · 21 menit baca
Menghapus API key Dokploy dari GitHub: job deploy login ke Vault pakai OIDC token GitHub, dapat token Vault 5 menit yang cuma bisa membaca satu path. Ditutup dengan rangkuman seri, risiko yang diterima, dan ide lanjutan.
DevSecOps · 19 menit baca
Cara menerima temuan security secara resmi: satu exception per temuan, ada owner, alasan, dan tanggal kedaluwarsa maksimal 90 hari, ditegakkan oleh required check dan cek mingguan.
DevSecOps · 20 menit baca
Workflow deploy yang membangun image sekali di development, men-scan dengan Trivy, membuat SBOM, push ke GHCR, deploy ke Dokploy, lalu mempromosikan image yang sama ke production setelah approval.
DevSecOps · 19 menit baca
Dua service Compose di Dokploy, satu untuk dev dan satu untuk production, masing-masing dengan AppRole Vault sendiri, domain HTTPS lewat Traefik, dan auto-deploy yang sengaja dimatikan supaya hanya CI yang boleh deploy.
DevSecOps · 18 menit baca
Check merah tanpa ruleset cuma saran. Di bagian ini saya memasang ruleset tanpa bypass di development dan main, lalu membuktikannya dengan lima PR jahat yang semuanya diblokir.
DevSecOps · 18 menit baca
Repo publik dengan pengaturan keamanan yang benar, lalu workflow pr-checks berisi tujuh pemeriksaan: test, Gitleaks, Semgrep, govulncheck, dependency review, Trivy config, dan Trivy image. Plus gate asal branch untuk PR ke main.
DevSecOps · 19 menit baca
Container vault-agent login ke Vault pakai AppRole, me-render config.json ke volume tmpfs dengan izin 0400, lalu app membacanya read-only. Plus cara menguji semuanya di laptop memakai Vault dev server.
DevSecOps · 17 menit baca
Membangun secure-cicd-go: API Go kecil dengan JWT HS256 dan AES-256-GCM yang membaca secret dari file, berhenti kalau config tidak valid, melaporkan commit lewat /version, dan dikemas di image distroless non-root.
DevSecOps · 7 menit baca
Gambaran besar proyek secure-cicd-go: masalah yang mau diselesaikan, alur dari PR sampai production, daftar security gate, dan tools yang perlu dipasang sebelum mulai.
DevSecOps · 12 menit baca
Menyiapkan secret di Vault KV v2, policy read-only per environment, dan AppRole terpisah untuk dev dan production, lalu membuktikan kredensial dev ditolak di production.