SonarQube安全设置

转载自：https://blog.csdn.net/nklinsirui/article/details/97184505

SonarQube安全设置

参考文档

• https://docs.sonarqube.org/latest/instance-administration/security/

安全设置

强制要求必须登录SonarQube

用管理员账号登录SonarQube，打开Administration > Configuration > General Settings > Security，开启Force user authentication，点击Save保存生效。

开启该选项后，不允许匿名运行mvn sonar:sonar代码扫描，必须提供SonarQube Token。

 

修改默认的项目可见性为private

用管理员账号登录SonarQube，打开Administration > Projects > Management，修改Default visibility of new projects为private。

这样新建项目后，只有该项目的授权用户才能看到该项目的代码。

对已有的项目，打开项目级别的Adminstration > Permissions，手工修改项目可见性。

 

去掉Anyone组的权限

用管理员账号登录SonarQube，打开Administration > Security > Global Permissions，去掉Anyone组的所有权限。

 

去掉Project Creator的权限

用管理员账号登录SonarQube，打开Administration > Security > Permission Templates，打开Default template，去掉Project Creator的所有权限。

 

生成用户Token

用该用户登录SonarQube，打开MyAccount > Security，来生成一个Token。

在按项目作多租户隔离的场景，需要为每个项目在SonarQube上创建一个用户，并使用该用户的Token来作代码扫描。

 

设置项目账号权限

用管理员账号登录SonarQube，打开项目级别的Adminstration > Permissions，选择Users，输入用户名称查询，然后设置该用户权限。一般只需要设置Browse，See Source Code和Execute Analysis即可。

在按项目作多租户隔离的场景，需要为每个项目在SonarQube上创建一个用户，并设置只有该用户才有相应权限。