Развертывание сервиса статического мониторинга кода и безопасности SonarQube

Перед началом работы

1. Зарегистрируйтесь в личном кабинете Cloud.ru.

   Если вы уже зарегистрированы, войдите под своей учетной записью.

2. Сгенерируйте ключевую пару и загрузите публичный ключ в Cloud.ru Evolution.

3. Создайте учетную запись в GitVerse, если не сделали этого ранее. Примеры кода в практическом руководстве размещаются в GitVerse.

4. (Опционально) Скачайте и установите Visual Studio Code для выполнения шага 8.

1. Определите необходимую инфраструктуру для вашего проекта

2. Разверните ресурсы в облаке

1. Создайте виртуальную сеть с названием sonarqube-VPC.

2. Создайте подсеть со следующими параметрами:

   • Название: sonarqube-subnet.

   • VPC: sonarqube-VPC.

   • Адрес: 10.10.1.0/24.

   • DNS-серверы: 8.8.8.8.

3. Создайте группу безопасности с названием sonarqube и добавьте в нее правила:

   • Правило входящего трафика:

     • Протокол: TCP;

     • Порт: 443;

     • Тип источника: IP-адрес;

     • Источник: 0.0.0.0/0.

   • Правило входящего трафика:

     • Протокол: TCP;

     • Порт: 80;

     • Тип источника: IP-адрес;

     • Источник: 0.0.0.0/0.

   • Правило исходящего трафика:

     • Протокол: Любой;

     • Тип адресата: IP-адрес;

     • Адресат: 0.0.0.0/0.

4. Создайте виртуальную машину со следующими параметрами:

   • Название: sonarqube.

   • Образ: публичный образ Ubuntu 22.04.

   • Сетевой интерфейс: выберите тип Подсеть с публичным IP.

   • VPC: sonarqube-VPC.

   • Подсеть: sonarqube-subnet.

   • Публичный IP: оставьте Арендовать новый или выберите IP-адрес из списка арендованных.

   • Группы безопасности: SSH-access_ru.AZ-1 и sonarqube.

   • Логин: sonarqube.

   • Метод аутентификации: Публичный ключ и Пароль.

   • Публичный ключ: укажите ключ, созданный ранее.

   • Пароль: задайте пароль.

   • Имя хоста: sonarqube.

   • Остальные параметры оставьте по умолчанию или выберите на свое усмотрение.

5. Создайте кластер Managed PostgreSQL со следующими параметрами:

   • Имя кластера: sonarqube.

   • Название базы данных: sonarqube_db.

   • Версия PostgreSQL: 16.

   • Подсеть: sonarqube-subnet.

   • Остальные параметры оставьте по умолчанию или выберите на свое усмотрение.

1. На странице Сети → VPC отображается сеть sonarqube-VPC, а в списке ее подсетей — sonarqube-subnet.

2. На странице Сети → Группы безопасности отображается группа безопасности sonarqube со статусом «Создана».

3. На странице Инфраструктура → Виртуальные машины отображается виртуальная машина sonarqube со статусом «Запущена».

4. На странице Базы данных → Managed PostgreSQL® отображается кластер sonarqube со статусом «Доступен».

3. Настройте окружение виртуальной машины

1. Подключитесь к виртуальной машине по SSH.

2. Обновите систему и установите утилиты:

   sudo apt update && sudo apt upgrade -y
   sudo apt install curl wget unzip software-properties-common -y
   
   

3. Установите и запустите Nginx:

   sudo apt install nginx -y
   sudo systemctl enable nginx
   sudo systemctl start nginx
   
   

4. Установите Let’s Encrypt и плагин для Nginx:

   sudo apt install certbot python3-certbot-nginx -y
   
   

5. Установите Docker и Docker Compose:

   curl -fsSL https://get.docker.com -o get-docker.sh
   sudo sh get-docker.sh
   sudo apt install docker compose -y
   
   

6. Добавьте текущего пользователя виртуальной машины в группу Docker:

   sudo usermod -aG docker $USER
   newgrp docker
   
   

7. Настройте системные параметры для SonarQube.

   Для стабильной работы SonarQube требуются повышенные значения параметров ядра vm.max_map_count, fs.file-max и пользовательских лимитов на количество открытых файлов (open files) и потоков (threads). В противном случае компонент Elasticsearch, используемый в SonarQube, не сможет создать необходимое количество отображений памяти (memory mappings) и файловых дескрипторов, что приведет к ошибкам при запуске и аварийному завершению анализа.

   Настройка этих параметров с помощью sysctl и limits.conf обеспечивает их сохранение на уровне ядра и пользовательских лимитов. Это гарантирует, что при каждой загрузке операционной системы SonarQube будет автоматически получать требуемые ресурсы.

   1. Настройте параметры ядра:

      sudo sysctl -w vm.max_map_count=262144
      sudo sysctl -w fs.file-max=65536
      
      

   2. Задайте постоянное применение этих параметров:

      echo 'vm.max_map_count=262144' | sudo tee -a /etc/sysctl.conf
      echo 'fs.file-max=65536' | sudo tee -a /etc/sysctl.conf
      
      

   3. Укажите лимиты:

      echo 'sonarqube - nofile 65536' | sudo tee -a /etc/security/limits.conf
      echo 'sonarqube - nproc 4096' | sudo tee -a /etc/security/limits.conf
      
      ulimit -n 65536
      ulimit -u 4096
      
      

4. Настройте защищенный доступ через Nginx

1. Создайте конфигурационный файл Nginx:

   sudo nano /etc/nginx/sites-available/sonarqube.conf
   
   

2. Вставьте код, заменив <ip-address> на значение публичного IP-адреса виртуальной машины:

   server {
       listen 80;
       server_name sonar.<ip-address>.nip.io www.sonar.<ip-address>.nip.io;
   
   location / {
      proxy_pass http://127.0.0.1:9000;
      proxy_set_header Host $host;
      proxy_set_header X-Real-IP $remote_addr;
      proxy_set_header X-Forwarded-Proto $scheme;
   }
   }
   
   

3. Сконфигурируйте межсетевой экран:

   sudo ufw allow OpenSSH
   sudo ufw allow 'Nginx Full'
   sudo ufw enable
   
   

4. Активируйте конфигурацию и перезапустите Nginx:

   sudo ln -sf /etc/nginx/sites-available/sonarqube.conf /etc/nginx/sites-enabled/sonarqube.conf
   sudo rm -f /etc/nginx/sites-enabled/default
   sudo nginx -t
   sudo systemctl reload nginx
   
   

5. Выпустите SSL-сертификат:

   sudo certbot --nginx -d sonar.<ip-address>.nip.io --redirect --agree-tos -m <email>
   
   

   Где:

   • <ip-address> — публичный IP-адрес виртуальной машины.

   • <email> — email для регистрации сертификата.

6. Перейдите по адресу https://sonar.<ip-address>.nip.io и убедитесь, что браузер отмечает соединение как безопасное.

5. Установите и запустите SonarQube

1. Создайте директорию проекта:

   mkdir sonarqube-deployment
   cd sonarqube-deployment
   
   

2. Создайте файл docker-compose.yml:

   nano docker-compose.yml
   
   

3. Добавьте следующую конфигурацию:

   services:
      sonarqube:
         image: sonarqube:25.8.0.112029-community
         container_name: sonarqube
         restart: unless-stopped
         ports:
            - "9000:9000"
         environment:
            - SONAR_JDBC_URL=jdbc:postgresql://<postgres_ip>:5432/sonarqube_db
            - SONAR_JDBC_USERNAME=<postgres_admin_user>
            - SONAR_JDBC_PASSWORD=<postgres_admin_password>
            - SONAR_ES_BOOTSTRAP_CHECKS_DISABLE=true
         volumes:
            - sonarqube_data:/opt/sonarqube/data
            - sonarqube_extensions:/opt/sonarqube/extensions
            - sonarqube_logs:/opt/sonarqube/logs
         ulimits:
            nproc: 131072
            nofile:
               soft: 8192
               hard: 131072
   
   volumes:
      sonarqube_data:
      sonarqube_extensions:
      sonarqube_logs:
   
   

   Где:

   • <postgres_admin_user> — имя пользователя кластера Managed PostgreSQL®.

   • <postgres_admin_password> — пароль указанного пользователя.

   • <postgres_ip> — приватный IP-адрес кластера.

4. Запустите контейнеры:

   docker compose up -d
   
   

5. Проверьте статус контейнеров:

   docker compose ps
   docker compose logs -f sonarqube
   
   

6. Перейдите по адресу https://sonar.<ip-address>.nip.io и войдите в панель администратора, используя временные учетные данные admin/admin.

7. Смените пароль администратора.

6. Отключите SSH-доступ

1. В личном кабинете на верхней панели слева нажмите и выберите Инфраструктура → Виртуальные машины.

2. В списке виртуальных машин выберите sonarqube.

3. Перейдите на вкладку Сетевые параметры.

4. В блоке сетевого интерфейса нажмите и выберите Изменить группы безопасности.

5. Удалите группу SSH-access_ru и сохраните изменения.

6. Убедитесь, что доступа нет — попробуйте подключиться к виртуальной машине по SSH. После отключения доступа по SSH, администрирование сервиса будет доступно через серийную консоль виртуальной машины.

7. Подключите SonarQube к репозиторию в GitVerse

1. Склонируйте репозиторий с приложением в GitVerse.

2. Перейдите в SonarQube по адресу https://sonar.<ip-address>.nip.io/projects.

3. Нажмите Create Project → Local.

4. Создайте проект со следующими значениями:

   • Project display name: evo-virtual-machine-sonarqube-lab.

   • Project key: evo-virtual-machine-sonarqube-lab.

   • Main branch name: master.

5. Нажмите Next.

6. Выберите значение Use the global setting.

7. Нажмите Create project.

8. В параметре Analysis Method выберите With GitHub Actions.

9. Нажмите Generate a token и скопируйте сгенерированный токен.

10. Добавьте секреты в GitVerse репозиторий:

    • SONAR_TOKEN;

    • SONAR_HOST_URL.

11. Убедитесь, что сборка CI/CD прошла успешно. Если сборка неуспешная, нажмите Перезапустить все джобы.

    

12. Перейдите в SonarQube по адресу https://sonar.<ip-address>.nip.io/projects и откройте проект evo-virtual-machine-sonar-qube-lab.

13. Посмотрите на отчет, проанализируйте найденные проблемы.

    

8. Подключите SonarQube к Visual Studio Code

1. Откройте Visual Studio Code.

2. Склонируйте репозиторий с примером в GitVerse.

3. Откройте репозиторий с кодом примера evo-virtual-machine-sonarqube-lab в Visual Studio Code.

4. Установите расширение SonarQube for IDE для подключения SonarQube к редактору Visual Studio Code.

5. В левом меню Visual Studio Code нажмите на расширение SonarQube Setup.

6. Нажмите Connect to SonarQube Server.

7. В параметре Server URL введите значение https://sonar.<ip-address>.nip.io.

8. Нажмите Generate Token.

9. В открывшемся окне браузера подтвердите соединение и скопируйте токен.

10. Вставьте скопированное значение в User Token.

11. Нажмите Save connection.

12. Нажмите кнопку + в меню SonarQube Setup.

13. Выберите проект evo-virtual-machine-sonarqube-lab в выпадающем меню.

    

14. Откройте файл health-check.service.ts в Visual Studio Code и проверьте, что в строке 23 подсвечена ошибка. Такая же ошибка отображается в результатах анализа проекта в SonarQube.

    

Результат