Jenkins集成Sonar Quabe和权限配置
Jenkins集成Sonar Quabe和权限配置
安装Sonar
Sonar是一个用于代码质量管理的开源平台，用于管理Java源代码的质量。通过插件机制，Sonar 可以集成不同的测试工具，代码分析工具，以及持续集成工具，比如pmd-cpd、checkstyle、findbugs、Jenkins。通过不同的插件对这些结果进行再加工处理，通过量化的方式度量代码质量的变化，从而可以方便地对不同规模和种类的工程进行代码质量管理。同时 Sonar 还对大量的持续集成工具提供了接口支持，可以很方便地在持续集成中使用 Sonar。 此外，Sonar 的插件还可以对 Java 以外的其他编程语言提供支持，对国际化以及报告文档化也有良好的支持。
这里使用docker安装sonar. 要求宿主机器安装了docker和docker-compose
docker-compose.yaml
version: "3"
services:
sonarqube:
image: sonarqube:7.7-community
ports:
- "9000:9000"
networks:
- sonarnet
environment:
- SONARQUBE_JDBC_URL=jdbc:postgresql://db:5432/sonar
volumes:
- sonarqube_conf:/opt/sonarqube/conf
- sonarqube_data:/opt/sonarqube/data
- sonarqube_extensions:/opt/sonarqube/extensions
- sonarqube_bundled-plugins:/opt/sonarqube/lib/bundled-plugins
db:
image: postgres:11-alpine
networks:
- sonarnet
environment:
- POSTGRES_USER=sonar
- POSTGRES_PASSWORD=sonar
volumes:
- postgresql_data:/var/lib/postgresql/data
networks:
sonarnet:
driver: bridge
volumes:
sonarqube_conf:
sonarqube_data:
sonarqube_extensions:
sonarqube_bundled-plugins:
postgresql_data:sonar的配置文件会挂载出来，目录类似/var/lib/docker/volumes/sonarqube_sonarqube_conf/_data.
修改sonar.properties，以添加自定义配置，比如sso，比如ldap
命令行执行启动
docker-compose up -d浏览器访问localhost:9000
Jenkins配置sonar
安装sonar插件 SonarQube Scanner for Jenkins
然后
Jenkins 系统配置SonarQube servers
name: SonarQube
Jenkins 全局工具配置Sonar Scanner
name: SonarQube Scanner
Maven Jenkins Job配置
如果选择构建一个maven类型的Jenkins Job, 需要在构建后添加步骤执行sonar scan
添加post step， 需要指定sonar-project.properties配置文件
sonar-project.properties会指定项目的分组key。Sonar通过分组key前缀可以设置分组权限。比如
# must be unique in a given SonarQube instance
# 项目的唯一性id，使用分组标识做为前缀，比如项目属于部门my
sonar.projectKey=my:demo
# this is the name and version displayed in the SonarQube UI. Was mandatory prior to SonarQube 6.1.
sonar.projectName=my:demo
sonar.projectVersion=1.0
# Path is relative to the sonar-project.properties file. Replace "\" by "/" on Windows.
# This property is optional if sonar.modules is set.
# 要扫描的模块位置，如果是根目录，就是.
sonar.sources=web-api
# Encoding of the source code. Default is default system encoding
#sonar.sourceEncoding=UTF-8
# 这里需要指定编译后jar所在目录
sonar.java.binaries=**/target/classes然后，点击构建即可在sonar上看到结果。
Pipeline Jenkins Job配置
如果采用Pipeline作为Jenkins Job, 需要修改Jenkinsfile的步骤。
参考官方文档
添加两个stage
stage('SonarQube analysis') {
def sonarqubeScannerHome = tool name: 'SonarQube Scanner'
withSonarQubeEnv('SonarQube') {
//这里project_module是模块所在路径，目的是指定配置文件
sh "${sonarqubeScannerHome}/bin/sonar-scanner -Dproject.settings=./${project_module}/sonar-project.properties"
}
}
// No need to occupy a node
stage("Quality Gate"){
//最多等待1min，如果扫描没通过，超时失败
timeout(time: 1, unit: 'MINUTES') { // Just in case something goes wrong, pipeline will be killed after a timeout
def qg = waitForQualityGate() // Reuse taskId previously collected by withSonarQubeEnv
if (qg.status != 'OK') {
error "Pipeline aborted due to quality gate failure: ${qg.status}"
}
}
}由于等待sonar扫描结果需要回调webhook, 因此，需要在sonar配置Jenkins的webhook回调地址。
假设Jenkins地址为： http://jenkins.demo.com
打开sonar-administration-configuration-webhooks, 添加一个webhook
http://jenkins.demo.com/sonarqube-webhook/这样扫描结果会通知Jenkins.
Sonar权限管理
Sonar设置权限有admin和普通用户以及分组和创建者。我们默认创建者和admin有所有权限， 接下来就是我们关注的分组权限。百度大部分文章都没提到，只是到sonar扫描就结果了。而一个代码质量检测平台肯定是给人用的，就必须设置权限问题。我们希望，不同部门的人只能看到部门自己的代码结果。所以代码必须和组进行关联。
集成ldap可以直接使用公司现有的组织架构，也可以手动添加group，然后group添加人。
接下来，如何绑定项目给指定group？ 当然可以直接手动设置，但公司那么多项目，肯定需要配置化自动绑定。Sonar提供了permission template来实现这个功能。参见官网
use the "Create" button on Administration > Security >** Permission Templates. It is possible to provide a Project key pattern**.
这里有个问题，就是Project Key Pattern是正则表达式，所以，针对我们前面demo，这个内容应是
my.*先要配置好permission template, 设置哪些组可以有哪些权限，比如设置组my可以访问所有my为前缀的项目。 然后进行代码扫描，生成的项目就会绑定这个模板对应的权限了。
Sonar quality Gate通过阈值设置
Sonar通过quality gate规则来决定扫描是否通过，指标有很多种，比如设定bug不能超过10个, 当扫描结果bug大于10就会失败。
