Jenkins集成Sonar Quabe和权限配置

2021-10-25 22:32:48

安装Sonar
Jenkins配置sonar
Maven Jenkins Job配置
Pipeline Jenkins Job配置
Sonar权限管理
Sonar quality Gate通过阈值设置

安装Sonar

Sonar是一个用于代码质量管理的开源平台，用于管理Java源代码的质量。通过插件机制，Sonar 可以集成不同的测试工具，代码分析工具，以及持续集成工具，比如pmd-cpd、checkstyle、findbugs、Jenkins。通过不同的插件对这些结果进行再加工处理，通过量化的方式度量代码质量的变化，从而可以方便地对不同规模和种类的工程进行代码质量管理。同时 Sonar 还对大量的持续集成工具提供了接口支持，可以很方便地在持续集成中使用 Sonar。此外，Sonar 的插件还可以对 Java 以外的其他编程语言提供支持，对国际化以及报告文档化也有良好的支持。

这里使用docker安装sonar. 要求宿主机器安装了docker和docker-compose

docker-compose.yaml

version: "3"

services:

  sonarqube:

    image: sonarqube:7.7-community

    ports:

      - "9000:9000"

    networks:

      - sonarnet

    environment:

      - SONARQUBE_JDBC_URL=jdbc:postgresql://db:5432/sonar

    volumes:

      - sonarqube_conf:/opt/sonarqube/conf

      - sonarqube_data:/opt/sonarqube/data

      - sonarqube_extensions:/opt/sonarqube/extensions

      - sonarqube_bundled-plugins:/opt/sonarqube/lib/bundled-plugins

  db:

    image: postgres:11-alpine

    networks:

      - sonarnet

    environment:

      - POSTGRES_USER=sonar

      - POSTGRES_PASSWORD=sonar

    volumes:

      - postgresql_data:/var/lib/postgresql/data

networks:

  sonarnet:

    driver: bridge

volumes:

  sonarqube_conf:

  sonarqube_data:

  sonarqube_extensions:

  sonarqube_bundled-plugins:

  postgresql_data:

sonar的配置文件会挂载出来，目录类似/var/lib/docker/volumes/sonarqube_sonarqube_conf/_data.

修改sonar.properties，以添加自定义配置，比如sso，比如ldap

命令行执行启动

docker-compose up -d

浏览器访问localhost:9000

Jenkins配置sonar

安装sonar插件 SonarQube Scanner for Jenkins

然后

Jenkins 系统配置SonarQube servers

name: SonarQube

Jenkins 全局工具配置Sonar Scanner

name: SonarQube Scanner

Maven Jenkins Job配置

如果选择构建一个maven类型的Jenkins Job, 需要在构建后添加步骤执行sonar scan

添加post step，需要指定sonar-project.properties配置文件

sonar-project.properties会指定项目的分组key。Sonar通过分组key前缀可以设置分组权限。比如

# must be unique in a given SonarQube instance

# 项目的唯一性id，使用分组标识做为前缀，比如项目属于部门my

sonar.projectKey=my:demo

# this is the name and version displayed in the SonarQube UI. Was mandatory prior to SonarQube 6.1.

sonar.projectName=my:demo

sonar.projectVersion=1.0

# Path is relative to the sonar-project.properties file. Replace "\" by "/" on Windows.

# This property is optional if sonar.modules is set.

# 要扫描的模块位置，如果是根目录，就是.

sonar.sources=web-api

# Encoding of the source code. Default is default system encoding

#sonar.sourceEncoding=UTF-8

# 这里需要指定编译后jar所在目录

sonar.java.binaries=**/target/classes

然后，点击构建即可在sonar上看到结果。

Pipeline Jenkins Job配置

如果采用Pipeline作为Jenkins Job, 需要修改Jenkinsfile的步骤。

参考官方文档

添加两个stage

    stage('SonarQube analysis') {

        def sonarqubeScannerHome = tool name: 'SonarQube Scanner'

        withSonarQubeEnv('SonarQube') {

            //这里project_module是模块所在路径，目的是指定配置文件

            sh "${sonarqubeScannerHome}/bin/sonar-scanner -Dproject.settings=./${project_module}/sonar-project.properties"

        }

    }

    // No need to occupy a node

    stage("Quality Gate"){

        //最多等待1min，如果扫描没通过，超时失败

        timeout(time: 1, unit: 'MINUTES') { // Just in case something goes wrong, pipeline will be killed after a timeout

            def qg = waitForQualityGate() // Reuse taskId previously collected by withSonarQubeEnv

            if (qg.status != 'OK') {

                error "Pipeline aborted due to quality gate failure: ${qg.status}"

            }

        }

    }

由于等待sonar扫描结果需要回调webhook, 因此，需要在sonar配置Jenkins的webhook回调地址。

假设Jenkins地址为： http://jenkins.demo.com

打开sonar-administration-configuration-webhooks, 添加一个webhook

http://jenkins.demo.com/sonarqube-webhook/

这样扫描结果会通知Jenkins.

Sonar权限管理

Sonar设置权限有admin和普通用户以及分组和创建者。我们默认创建者和admin有所有权限，

接下来就是我们关注的分组权限。百度大部分文章都没提到，只是到sonar扫描就结果了。而一个代码质量检测平台肯定是给人用的，就必须设置权限问题。我们希望，不同部门的人只能看到部门自己的代码结果。所以代码必须和组进行关联。

集成ldap可以直接使用公司现有的组织架构，也可以手动添加group，然后group添加人。

接下来，如何绑定项目给指定group？当然可以直接手动设置，但公司那么多项目，肯定需要配置化自动绑定。Sonar提供了permission template来实现这个功能。参见官网

use the "Create" button on Administration > Security >** Permission Templates**. It is possible to provide a Project key pattern.

这里有个问题，就是Project Key Pattern是正则表达式，所以，针对我们前面demo，这个内容应是

my.*

先要配置好permission template, 设置哪些组可以有哪些权限，比如设置组my可以访问所有my为前缀的项目。然后进行代码扫描，生成的项目就会绑定这个模板对应的权限了。

Sonar quality Gate通过阈值设置

Sonar通过quality gate规则来决定扫描是否通过，指标有很多种，比如设定bug不能超过10个, 当扫描结果bug大于10就会失败。

码农公寓