GitLab 14.7版本：流式事件审计、符合FIPS 14( 三 ) 本月23号

文章图片
Omnibus套件更新
GitLab14.7引入Mattermost6.2 ，支持私人频道自动完成功能、单击以回复线程、跟踪Playbook运行的能力、Boards日历视图和@mention自动完成功能等等。另外还有安全更新，建议从早期版本升级。
使用GitLab14.7 ，可以配置Redis支持SSL加密传输：
redis['tls_port']
redis['tls_cert_file']
redis['tls_key_file']
gitlab_rails['redis_ssl']=true
安全和合规性
符合FIPS140-2的GitLabRunner
对于有些GitLab客户，合规监管要求其必须使用符合FIPS规范。 FIPS140-2和FIPS140-3定义了用于计算机和电信系统以及保护敏感信息的网络系统中的加密模块的安全要求。新版本的GitLabRunner完全符合FIPS140-2 ，适用于AMD64计算架构和RedHatEnterpriseLinux(RHEL)发行版。
流式事件审核（ULTIMATE）
新版本可以将审核事件流式传输到制定的位置。这是将GitLab审计事件与其他数据流相关联、维护审计事件备份或构建自己的自动化以在特定审计事件发生时采取行动的好方法。
可以使用新的GraphQLAPI指定TTPS接口，并将事件以webhook发送。这些消息包含与审计事件UI相同的信息，包括发生的更改类型、发生时间、涉及的人员以及一些额外的元数据。
收到这些消息后，可以根据人员、类型进行过滤，或将该数据注入另一个第三方工具。
组访问令牌
使用组访问令牌，可以使用单个令牌对组执行操作、管理组内的项目。在GitLab14.2及更高版本中可通过HTTPS进行Git身份验证。
以前，组访问令牌仅限于自建实例，并且只能通过Rails控制台生成。现在，可以使用UI和API创建组访问令牌。可以定义令牌名称、到期日期和范围。还可以撤销现有的组访问令牌。

文章图片
静态分析分析器更新
GitLab静态分析由一组许多安全分析器组成， GitLab静态分析团队积极管理、维护和更新这些分析器。 GitLab14.7发布中的更新和改进包括：
Spotbugs更新到v2.28.12：修补Log4j漏洞库(v4.5.3) 。
CodeClimate更新到v0.85.26 。
如果使用GitLab托管的供应商SAST模板(SAST.gitlab-ci.yml) ，则无需执行任何操作即可接收这些更新。但是，如果使用覆盖或自定义您自己的CI/CD模板，则需要更新CI/CD配置。
GitlabRunner14.7
同期还发布了GitLabRunner14.7 。新增加功能包括：
GitLabRunnerHelmChart添加交互式Web终端支持。
修复了Bug：
stdout仅在确uid何时启用FF_DISABLE_UMASK_FOR_DOCKER_EXECUTOR时解析的问题。
Bug修复
GitLab14.7也修复了一些重要Bug：
对一些btYarn目执行依赖扫描失败。
NuGet数据不加载长/短版本号。
无法从ontainerRegistry删除格式错误的标签。
组SAML-计划的管道找不到有效的SSO会话。
检索错误令牌信息的API调用返回错误“400”而不是“401” 。
AzureDevOps-LFS同步问题。
修复了异步触发的流审计事件。
CI需求重复导致500响应。
修复文件名在导入时溢出模式。
导入的组成员身份未反映在子项目成员API中。
sidekiq-cluster为某些gitlab.yml配置抛出错误。
修复问题板中的事件侧边栏。
在问题板上按Epic分组未显示正确数量的问题。
当用户离开时， Epic应该存储其中填充的任何内容，类似于问题。
在RunnerQueue中跟踪正在运行的作业时查询超时。
“从头开始”图像的容器扫描失败。
GraphQLAPI上的未授权用户可以使用漏洞相关字段。
性能改进