{"id":3293,"date":"2021-06-25T13:59:00","date_gmt":"2021-06-25T11:59:00","guid":{"rendered":"https:\/\/blog.besharp.it\/?p=3293"},"modified":"2021-07-02T17:52:29","modified_gmt":"2021-07-02T15:52:29","slug":"come-arricchire-le-pipeline-di-cd-ci-con-la-static-code-analysis-utilizzando-sonarqube","status":"publish","type":"post","link":"https:\/\/blog.besharp.it\/it\/come-arricchire-le-pipeline-di-cd-ci-con-la-static-code-analysis-utilizzando-sonarqube\/","title":{"rendered":"Come arricchire le pipeline di CD\/CI con la static code analysis utilizzando SonarQube"},"content":{"rendered":"\n<p>Abbiamo pi\u00f9 volte trattato le pipeline di continuous delivery nel corso degli anni; questo perch\u00e9 crediamo davvero che disporre di un processo automatico, affidabile e completamente gestito per testare e distribuire il codice aiuti ad aumentare la qualit\u00e0 e la quantit\u00e0 del codice prodotto.<\/p>\n\n<p>Configurare una buona pipeline di CI\/CD \u00e8 un aspetto fondamentale per accelerare la distribuzione del software senza sacrificarne la qualit\u00e0, inoltre \u00e8 imprescindibile includere uno step di static code analysis nelle pipeline per sfruttarne a pieno i vantaggi e le potenzialit\u00e0. <\/p>\n\n<p>Uno strumento di static code analysis ispeziona la codebase durante il ciclo di sviluppo ed \u00e8 in grado di identificare bug, vulnerabilit\u00e0 e problemi di conformit\u00e0 senza eseguire effettivamente il codice sorgente. <\/p>\n\n<p>L&#8217;analisi del codice pu\u00f2 aiutare a garantire che il software sia sicuro, affidabile e conforme agli standard di qualit\u00e0 e stile definiti a livello aziendale.<\/p>\n\n<h2 class=\"wp-block-heading\">Che cos&#8217;\u00e8 la static code analysis?<\/h2>\n\n<p>La static code analysis \u00e8 una pratica che consente ai team di sviluppo di rilevare automaticamente potenziali bug, problemi di sicurezza e, pi\u00f9 in generale, difetti nel codice sorgente di una o pi\u00f9 applicazioni. Pertanto, possiamo vedere l&#8217;analisi statica come un ulteriore processo di revisione del codice automatizzato. Esaminiamo questa analogia pi\u00f9 in dettaglio.<\/p>\n\n<p>Il processo di revisione del codice, o code review, \u00e8 probabilmente il modo migliore per garantire la qualit\u00e0 del codice prodotto da un team di sviluppo. Durante una code review, una coppia di sviluppatori esamina il codice con l&#8217;obiettivo preciso di migliorarlo e di individuare pratiche pericolose sia dal punto di vista della manutenibilit\u00e0 che della sicurezza. <\/p>\n\n<p>Durante il processo di revisione, l&#8217;autore del codice non dovrebbe spiegare come funzionano determinate parti del programma in modo che il revisore non sia prevenuto sul suo giudizio. Inoltre, il codice dovrebbe essere chiaro, semplice, e altamente gestibile; la complessit\u00e0 dovrebbe essere mitigata dall&#8217;astrazione e dall&#8217;incapsulamento. Infine, il codice dovrebbe essere ritenuto sufficientemente chiaro, gestibile e sicuro, da entrambi i programmatori per superare la revisione.<\/p>\n\n<p>Le code review sono particolarmente efficaci perch\u00e9 \u00e8 pi\u00f9 facile per uno sviluppatore, individuare bug, code smell, e suggerire miglioramenti al codice prodotto da qualcun altro, piuttosto che sul suo lavoro, per il quale si ha un forte bias. <\/p>\n\n<p>La pratica delle review dovrebbe essere eseguita con la maggiore frequenza possibile; tuttavia, l&#8217;attivit\u00e0 richiede molto tempo e di conseguenza risulta molto costosa sia in termini di tempo che di denaro.<\/p>\n\n<p>Un modo eccellente per aumentare la frequenza delle revisioni del codice consiste quindi nell&#8217;includere uno step di code review automatica all\u2019interno delle pipeline utilizzando uno strumento di static code analysis.<\/p>\n\n<h2 class=\"wp-block-heading\">Strumenti e soluzioni di static code analysis<\/h2>\n\n<p>Esistono strumenti e soluzioni per implementare la static code analysis in grado di scansionare automaticamente la codebase e generare report accurati sulle condizioni del codice che sono rivolti agli sviluppatori. Tali strumenti sono solitamente facili da integrare nelle pipeline CD\/CI; solitamente il comando di scansione restituisce un exit code mediante il quale \u00e8 possibile determinare se il codice \u00e8 sufficientemente buono o se non supera l&#8217;analisi statica.<\/p>\n\n<p>Naturalmente, una soluzione completamente automatizzata non pu\u00f2 sostituire una revisione completa del codice eseguita da uno o pi\u00f9 sviluppatori. Tuttavia, l&#8217;aumento del rapporto tra la frequenza dell&#8217;analisi del codice e l&#8217;impatto relativamente economico sul prezzo complessivo rende l&#8217;aggiunta di uno step di analisi alla pipeline un modo efficiente per migliorare la qualit\u00e0 e la sicurezza del codice.<\/p>\n\n<p>Aggiungere questo step non sostituisce le code review, ma la sua aggiunta porta sicuramente benefici a buon mercato.<\/p>\n\n<ul><li>Rilevazione di possibili bug e problemi di sicurezza<\/li><li>Consigli sulla formattazione del codice e rilevazione di numerose tipologie di code smell <\/li><li>Calcolo di code metrics<\/li><\/ul>\n\n<p>Molti strumenti di code analysis, sia commerciali che gratuiti, supportano una vasta pletora di linguaggi di programmazione. Uno dei pi\u00f9 famosi \u00e8 <strong>SonarQube<\/strong>, che descriveremo meglio in seguito.<\/p>\n\n<p>Direttamente da AWS possiamo anche sfruttare <strong>CodeGuru<\/strong>, un servizio basato sul machine learning, che \u00e8 facile da integrare nelle pipeline e pu\u00f2 fornire suggerimenti di alta qualit\u00e0 per migliorare il codice. Sfortunatamente, al momento, CodeGuru supporta solo Java e Python, quest\u2019ultimo in preview.<\/p>\n\n<p>CodeGuru mira a diventare uno strumento di analisi robusto e di alta qualit\u00e0. Tuttavia, al momento, \u00e8 stabile da utilizzare solo per gli sviluppatori Java; quindi, ci concentreremo su una soluzione pi\u00f9 matura che pu\u00f2 essere utilizzata per molte pi\u00f9 linguaggi.<\/p>\n\n<p>Questo articolo approfondir\u00e0 come integrare <strong>SonarQube<\/strong> in una pipeline di CD\/CI.<\/p>\n\n<p><a href=\"https:\/\/www.sonarqube.org\/\" target=\"_blank\" rel=\"noreferrer noopener\">Sonarqube<\/a> is open-source software for continuous inspection of code quality. It performs automatic reviews with static analysis on more than 20 programming languages. It can spot duplicated code, compute code coverage, code complexity, and finds bugs and security vulnerabilities. In addition, it can record metrics history and provides evolution graphs via a dedicated web interface.<\/p>\n\n<p>The drawback of using SonarQube is that you can either subscribe to the managed SonarQube service (not provided by AWS) or manage your own installation.<\/p>\n\n<p>Di solito tendiamo a consigliare e sfruttare servizi fully managed per la pipeline di sviluppo, perch\u00e9 consentono di concentrarsi sul core business piuttosto che sull&#8217;infrastruttura o sugli strumenti necessari per realizzare la pipeline. <\/p>\n\n<p>Tuttavia, in questo caso, abbiamo optato per una soluzione personalizzata a causa di un modello di pricing non compatibile con il nostro utilizzo dello strumento. Inoltre, la fase di revisione automatica non \u00e8 un bloccante per la pipeline durante lo sviluppo, rendendo la disponibilit\u00e0 del cluster non critica.<\/p>\n\n<h2 class=\"wp-block-heading\">Setup di SonarQube su AWS<\/h2>\n\n<p>In questo breve tutorial illustreremo ad alto livello come configurare un cluster SonarQube su AWS sfruttando i servizi gestiti.<\/p>\n\n<p>Realizzeremo un cluster altamente disponibile e scalabile basato su ECS Fargate e Amazon Aurora Serverless<\/p>\n\n<p><\/p>\n\n<div class=\"wp-block-image\"><figure class=\"aligncenter size-large\"><img loading=\"lazy\" decoding=\"async\" width=\"1024\" height=\"576\" src=\"https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image5-1-1024x576.png\" alt=\"highly available and scalable cluster powered by ECS Fargate and Amazon Aurora Serverless\" class=\"wp-image-3263\" srcset=\"https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image5-1-1024x576.png 1024w, https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image5-1-400x225.png 400w, https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image5-1-768x432.png 768w, https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image5-1-1536x864.png 1536w, https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image5-1.png 1999w\" sizes=\"(max-width: 1024px) 100vw, 1024px\" \/><\/figure><\/div>\n\n<p><\/p>\n\n<h3 class=\"wp-block-heading\">Creazione del cluster Amazon Aurora Serverless<\/h3>\n\n<p>Per funzionare correttamente, SonarQube necessita di un database PostgreSQL o MySQL. In questo tutorial utilizzeremo Amazon Aurora Serverless con compatibilit\u00e0 PostgreSQL.<\/p>\n\n<p>Per creare il database basta accedere alla Console di gestione AWS, navigare sino alla sezione AWS RDS e fai cliccare sul pulsante &#8220;Crea database&#8221;. Nel modulo seguente, selezionare Amazon Aurora come engine, Amazon Aurora con compatibilit\u00e0 PostgreSQL come edizione e Serverless come tipo di capacit\u00e0. Un riassunto delle scelte \u00e8 disponibile nell&#8217;immagine qui sotto.<\/p>\n\n<p><\/p>\n\n<figure class=\"wp-block-image size-large is-resized\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image12-1-757x1024.png\" alt=\"create database - AWS RDS\" class=\"wp-image-3277\" width=\"756\" height=\"1023\" srcset=\"https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image12-1-757x1024.png 757w, https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image12-1-222x300.png 222w, https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image12-1-768x1039.png 768w, https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image12-1.png 855w\" sizes=\"(max-width: 756px) 100vw, 756px\" \/><\/figure>\n\n<p><\/p>\n\n<p>Infine, completare la configurazione del cluster impostando il nome del database, la password e tutta la configurazione di rete.<\/p>\n\n<h3 class=\"wp-block-heading\">Creazione di un Application Load Balancer e del Target Group<\/h3>\n\n<p>Per esporre il servizio Fargate che conterr\u00e0 la nostra applicazione Sonarqube, dobbiamo creare un AWS Application Load Balancer con il suo target group. Per abilitare HTTPS, occorre creare o importare un certificato SSL all&#8217;interno di AWS Certificate Manager. In caso contrario, nella creazione del load balancer, \u00e8 possibile configurare solo il listener sulla porta 80.<\/p>\n\n<p>Iniziamo quindi a creare il target group dalla pagina del servizio EC2. Nella sezione target group fare clic sul pulsante &#8220;Crea target group&#8221;. Selezionare &#8220;Indirizzo IP&#8221; come tipo di destinazione, HTTP come protocollo e 9000 come porta; assicurarsi inoltre di selezionare HTTP1 come versione del protocollo.<\/p>\n\n<p>Ora che abbiamo il nostro target group, possiamo creare l&#8217;Application Load Balancer. Per farlo, dalla sezione Load Balancer all&#8217;interno della Console EC2 fare clic sul pulsante Crea Load Balancer. Quindi, fare clic sul pulsante Crea nella sezione Application Load Balancer nella procedura guidata come nell&#8217;immagine sottostante.<\/p>\n\n<p><\/p>\n\n<div class=\"wp-block-image\"><figure class=\"aligncenter size-large\"><img loading=\"lazy\" decoding=\"async\" width=\"427\" height=\"534\" src=\"https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image6-1.png\" alt=\"Create application load balancer\" class=\"wp-image-3266\" srcset=\"https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image6-1.png 427w, https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image6-1-240x300.png 240w\" sizes=\"(max-width: 427px) 100vw, 427px\" \/><\/figure><\/div>\n\n<p><\/p>\n\n<p>Selezionare il tipo internet facing e creare due listener, uno sulla porta 80 e uno sulla porta 443. Il bilanciatore va associato alle subnet pubbliche per rendere il cluster raggiungibile da internet.<\/p>\n\n<p><\/p>\n\n<div class=\"wp-block-image\"><figure class=\"aligncenter size-large\"><img loading=\"lazy\" decoding=\"async\" width=\"1024\" height=\"658\" src=\"https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image2-2-1024x658.png\" alt=\"\" class=\"wp-image-3308\" srcset=\"https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image2-2-1024x658.png 1024w, https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image2-2-400x257.png 400w, https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image2-2-768x494.png 768w, https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image2-2.png 1402w\" sizes=\"(max-width: 1024px) 100vw, 1024px\" \/><\/figure><\/div>\n\n<p><\/p>\n\n<p>Nella sezione successiva (solo se si crea il listener sulla porta 443), seleziona un certificato SSL da AWS Certificate Manager per abilitare HTTPS.<\/p>\n\n<p>Infine, selezionare il target group creato precedentemente.<\/p>\n\n<p><\/p>\n\n<figure class=\"wp-block-image size-large\"><img loading=\"lazy\" decoding=\"async\" width=\"856\" height=\"779\" src=\"https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image11-1.png\" alt=\"Configure routing - application load balancer\" class=\"wp-image-3276\" srcset=\"https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image11-1.png 856w, https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image11-1-330x300.png 330w, https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image11-1-768x699.png 768w\" sizes=\"(max-width: 856px) 100vw, 856px\" \/><\/figure>\n\n<p><\/p>\n\n<p>Se si sceglie di esporre il cluster via HTTPS occorre modificare il comportamento della regola di default per implementare un redirect da http ad https e inoltrare il traffico https ai container fargate.<\/p>\n\n<p><\/p>\n\n<figure class=\"wp-block-image size-large\"><img loading=\"lazy\" decoding=\"async\" width=\"1024\" height=\"384\" src=\"https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image9-1-1024x384.png\" alt=\"Nelle immagini qui sotto sono visibili i passaggi necessari.\" class=\"wp-image-3271\" srcset=\"https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image9-1-1024x384.png 1024w, https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image9-1-400x150.png 400w, https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image9-1-768x288.png 768w, https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image9-1.png 1060w\" sizes=\"(max-width: 1024px) 100vw, 1024px\" \/><\/figure>\n\n<p><\/p>\n\n<p>Nella pagina di modifica, eliminare il comportamento predefinito e crearne uno nuovo facendo clic sul pulsante &#8220;Aggiungi azione&#8221;. Nella lista di controllo, selezionare il valore &#8220;Reindirizza a&#8221; per reindirizzare il traffico http al listener https.<\/p>\n\n<p><\/p>\n\n<div class=\"wp-block-image\"><figure class=\"aligncenter size-large\"><img loading=\"lazy\" decoding=\"async\" width=\"580\" height=\"670\" src=\"https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image4-1.png\" alt=\"select the &quot;Redirect to&quot; value\" class=\"wp-image-3262\" srcset=\"https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image4-1.png 580w, https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image4-1-260x300.png 260w\" sizes=\"(max-width: 580px) 100vw, 580px\" \/><\/figure><\/div>\n\n<p><\/p>\n\n<h3 class=\"wp-block-heading\">Creare il Cluster Fargate<\/h3>\n\n<p>Dalla console di ECS nella sezione Cluster ECS fare clic sul pulsante &#8220;Crea cluster&#8221;. Quindi, selezionare il modello &#8220;Networking only&#8221; come l&#8217;immagine qui sotto.<\/p>\n\n<p><\/p>\n\n<div class=\"wp-block-image\"><figure class=\"aligncenter size-large\"><img loading=\"lazy\" decoding=\"async\" width=\"855\" height=\"787\" src=\"https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image3-1.png\" alt=\"select cluster template\" class=\"wp-image-3260\" srcset=\"https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image3-1.png 855w, https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image3-1-326x300.png 326w, https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image3-1-768x707.png 768w\" sizes=\"(max-width: 855px) 100vw, 855px\" \/><\/figure><\/div>\n\n<p><\/p>\n\n<p>Indicare un nome per il cluster e procedere con il wizard.<br\/>Dal pannello di gestione IAM, creare un nuovo ruolo IAM e collegarvi le policy gestite denominate &#8220;<a href=\"https:\/\/console.aws.amazon.com\/iam\/home?#\/policies\/arn%3Aaws%3Aiam%3A%3Aaws%3Apolicy%2Fservice-role%2FAmazonECSTaskExecutionRolePolicy\">AmazonECSTaskExecutionRolePolicy<\/a>&#8221; e &#8220;<a href=\"https:\/\/console.aws.amazon.com\/iam\/home?#\/policies\/arn%3Aaws%3Aiam%3A%3Aaws%3Apolicy%2Fservice-role%2FAmazonEC2ContainerServiceRole\">AmazonEC2ContainerServiceRole<\/a> &#8220;.<\/p>\n\n<p><\/p>\n\n<figure class=\"wp-block-image size-large\"><img loading=\"lazy\" decoding=\"async\" width=\"1024\" height=\"179\" src=\"https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image7-1-1024x179.png\" alt=\"create a new IAM Role and attach the AWS Managed policy\" class=\"wp-image-3267\" srcset=\"https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image7-1-1024x179.png 1024w, https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image7-1-400x70.png 400w, https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image7-1-768x134.png 768w, https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image7-1-1536x268.png 1536w, https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image7-1.png 1614w\" sizes=\"(max-width: 1024px) 100vw, 1024px\" \/><\/figure>\n\n<p><\/p>\n\n<p>Nella sezione successiva selezionare &#8220;Crea nuova task definition&#8221; e selezionare il tipo Fargate.<\/p>\n\n<p><\/p>\n\n<div class=\"wp-block-image\"><figure class=\"aligncenter size-large\"><img loading=\"lazy\" decoding=\"async\" width=\"934\" height=\"741\" src=\"https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image10-1.png\" alt=\"choose the Fargate launch type\" class=\"wp-image-3274\" srcset=\"https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image10-1.png 934w, https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image10-1-378x300.png 378w, https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image10-1-768x609.png 768w\" sizes=\"(max-width: 934px) 100vw, 934px\" \/><\/figure><\/div>\n\n<p><\/p>\n\n<p>Impostare quindi il ruolo IAM precedentemente configurato<\/p>\n\n<p>e selezionare il dimensionamento dei container a 8 GB per la RAM e 2 vCPU.<\/p>\n\n<p><\/p>\n\n<div class=\"wp-block-image\"><figure class=\"aligncenter size-large\"><img loading=\"lazy\" decoding=\"async\" width=\"1011\" height=\"1010\" src=\"https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image13-1.png\" alt=\"configure task and container definitions\" class=\"wp-image-3280\" srcset=\"https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image13-1.png 1011w, https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image13-1-300x300.png 300w, https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image13-1-768x767.png 768w\" sizes=\"(max-width: 1011px) 100vw, 1011px\" \/><\/figure><\/div>\n\n<p><\/p>\n\n<p>Nella sezione container, aggiungere un nuovo container ed utilizzare &#8220;public.ecr.aws\/bitnami\/sonarqube:8.9.1&#8221; come immagine. Quest\u2019immagine \u00e8 la versione ufficiale di Sonarqube ospitata da AWS su un ECR pubblico. Volendo, \u00e8 possibile utilizzare il proprio repository privato ECR con una versione modificata o comunque controllata dell\u2019immagine di SonarQube. Nella mappatura delle porte, occorre mappare la porta 9000 del container.<\/p>\n\n<p><\/p>\n\n<div class=\"wp-block-image\"><figure class=\"aligncenter size-large\"><img loading=\"lazy\" decoding=\"async\" width=\"1024\" height=\"516\" src=\"https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image1-1-1024x516.png\" alt=\"port mapping\" class=\"wp-image-3255\" srcset=\"https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image1-1-1024x516.png 1024w, https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image1-1-400x202.png 400w, https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image1-1-768x387.png 768w, https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image1-1.png 1224w\" sizes=\"(max-width: 1024px) 100vw, 1024px\" \/><\/figure><\/div>\n\n<p><\/p>\n\n<p>Nella sezione delle variabili di ambiente occorre impostare i seguenti valori per il corretto funzionamento dell\u2019immagine di SonarQube:<\/p>\n\n<ul><li>SONARQUBE_JDBC_URL: La stringa di connessione jdbc per la connessione al cluster Aurora Serverless come da seguente template: <em>jdbc:postgresql:\/<\/em><strong><em>YOUR_DATABASE_ENDPOINT<\/em><\/strong><em>:5432\/<\/em><strong><em>YOUR_DATABASE_NAME?sslmode=require&amp;gssEncMode=disable<\/em><\/strong><\/li><li>SONARQUBE_JDBC_USERNAME: Username del database aurora<\/li><li>SONARQUBE_JDBC_PASSWORD&gt; Password dell\u2019utente del db<\/li><\/ul>\n\n<p><\/p>\n\n<div class=\"wp-block-image\"><figure class=\"aligncenter size-large\"><img loading=\"lazy\" decoding=\"async\" width=\"1024\" height=\"263\" src=\"https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image8-1-1024x263.png\" alt=\"SonarQube environment variables\" class=\"wp-image-3269\" srcset=\"https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image8-1-1024x263.png 1024w, https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image8-1-400x103.png 400w, https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image8-1-768x197.png 768w, https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/image8-1.png 1174w\" sizes=\"(max-width: 1024px) 100vw, 1024px\" \/><\/figure><\/div>\n\n<p><\/p>\n\n<p>At this point, you can configure a service for the SonarQube cluster. For example, you can define a service specifying a task and a set of parameters that determine how many instances of the task are required as a minimum, current, and maximum value to allow the service to function correctly. You can read more on how to set up a service in our previous article <a href=\"https:\/\/blog.besharp.it\/aws-fargate-services-deployment-with-continuous-delivery-pipeline\/\" target=\"_blank\" rel=\"noreferrer noopener\">here<\/a>.<\/p>\n\n<p>Alla fine, ECS avvier\u00e0 le istanze necessarie e sar\u00e0 possibile accedere al software mediante l\u2019URL del load balancer.<\/p>\n\n<h2 class=\"wp-block-heading\">Come integrare la scansione SonarQube nella pipeline<\/h2>\n\n<p>Ora che il cluster \u00e8 attivo e funzionante, possiamo accedervi e iniziare a configurare SonarQube. \u00c8 possibile mettere a punto la configurazione e le preferenze delle scansioni. Una volta che il nostro progetto \u00e8 stato creato e configurato, possiamo configurare l\u2019automatismo per analizzare il codice durante l\u2019esecuzione della pipeline.<\/p>\n\n<p>Ci sono diversi modi per raggiungere questo obiettivo. Il pi\u00f9 comune e facile da implementare \u00e8 semplicemente aggiungere l\u2019esecuzione di un comando alla fase di build su CodeBuild. Per avviare un&#8217;analisi, \u00e8 necessario installare un agent e quindi eseguire un comando per avviare il processo. <\/p>\n\n<p>The agent can be pre-installed in the build container, the latest release of the agent is <a href=\"https:\/\/docs.sonarqube.org\/latest\/analysis\/scan\/sonarscanner\/\" target=\"_blank\" rel=\"noreferrer noopener\">available here for download<\/a>.<\/p>\n\n<p>Quando l\u2019agent \u00e8 a posto, \u00e8 possibile avviare un&#8217;analisi eseguendo questo comando.<\/p>\n\nsonar-scanner \n-Dsonar.projectKey=[PROJECT_KEY]\n-Dsonar.sources=.\n-Dsonar.host.url=[LOAD_BALANCER_URL]\n-Dsonar.login=[LOGIN_KEY]\n-Dsonar.qualitygate.wait=true\n-Dsonar.qualitygate.wait=true\n\n<p>L&#8217;ultimo parametro indica allo scanner di attendere la fine della scansione e di restituire un exit code diverso da 0 se la qualit\u00e0 del rilascio \u00e8 inferiore alla soglia configurata.<\/p>\n\n<p>In questo modo, la fase di compilazione della pipeline fallir\u00e0 se la qualit\u00e0 del codice non \u00e8 aderente alle regole definite su SonarQube o se sono stati individuati bug o pratiche pericolose.<\/p>\n\n<p>Capire quando \u00e8 il caso di far fallire la pipeline se la qualit\u00e0 non \u00e8 sufficiente \u00e8 un aspetto cruciale dell&#8217;intero processo.<\/p>\n\n<p>Come gi\u00e0 suggerito, l&#8217;analisi del codice \u00e8 economica e dovrebbe essere eseguita il pi\u00f9 possibile. Tuttavia, il processo di sviluppo non dovrebbe essere interrotto ogni volta che un&#8217;analisi del codice fallisce a seconda dell\u2019ambiente in cui si sta effettuando il rilascio. <\/p>\n\n<p>\u00c8 utile scansionare e generare il report ad ogni commit senza interrompere il rilascio, specialmente negli ambienti di sviluppo.<\/p>\n\n<p>&#8230; Le pipeline che afferiscono a qualsiasi ambiente &#8220;non di sviluppo&#8221; dovrebbero fallire se l&#8217;analisi del codice non \u00e8 sufficientemente buona, utilizzando il parametro evidenziato sopra.<\/p>\n\n<h2 class=\"wp-block-heading\">Conclusioni<\/h2>\n\n<p>La static code analysis \u00e8 una pratica affidabile e preziosa, che merita certamente di essere inclusa nel ciclo di sviluppo.<br\/>Esistono opzioni AWS come CodeGuru, completamente gestite e basate su Machine learning, ed esistono anche molte piattaforme commerciali e\/o open source come SonarQube che possono fornire supporto per i linguaggi specifici utilizzati dai team di sviluppo.<\/p>\n\n<p>Indipendentemente dall\u2019ambito e dalla tipologia di applicazione, se si dispone di pipeline di CD\/CI \u00e8 bene considerare l&#8217;aggiunta di una fase di analisi automatica del codice e assicurarsi che il rilascio si interrompa in caso la qualit\u00e0 non risulti sufficiente, almeno per gli ambienti di produzione.<\/p>\n\n<p>Restate sintonizzati per altri articoli sulle pipeline di continuous delivery e su altri approfondimenti sull\u2019analisi del codice sorgente.<\/p>\n\n<p>See you in 14 days on #Proud2beCloud!<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Abbiamo pi\u00f9 volte trattato le pipeline di continuous delivery nel corso degli anni; questo perch\u00e9 crediamo davvero che disporre di [&hellip;]<\/p>\n","protected":false},"author":8,"featured_media":3287,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[241],"tags":[360,295],"yoast_head":"<!-- This site is optimized with the Yoast SEO plugin v21.9.1 - https:\/\/yoast.com\/wordpress\/plugins\/seo\/ -->\n<title>Come arricchire le pipeline di CD\/CI con la static code analysis utilizzando SonarQube - Proud2beCloud Blog<\/title>\n<meta name=\"description\" content=\"Come integrare SonarQube come strumento per la static code analysis in una pipeline di CD\/CI\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/blog.besharp.it\/it\/come-arricchire-le-pipeline-di-cd-ci-con-la-static-code-analysis-utilizzando-sonarqube\/\" \/>\n<meta property=\"og:locale\" content=\"it_IT\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"Arricchire le pipeline di CD\/CI con la static code analysis utilizzando SonarQube\" \/>\n<meta property=\"og:description\" content=\"Integrare SonarQube per la static code analysis nelle pipeline di CI\/CD\" \/>\n<meta property=\"og:url\" content=\"https:\/\/blog.besharp.it\/it\/come-arricchire-le-pipeline-di-cd-ci-con-la-static-code-analysis-utilizzando-sonarqube\/\" \/>\n<meta property=\"og:site_name\" content=\"Proud2beCloud Blog\" \/>\n<meta property=\"article:published_time\" content=\"2021-06-25T11:59:00+00:00\" \/>\n<meta property=\"article:modified_time\" content=\"2021-07-02T15:52:29+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/twitter-shared-link-8.png\" \/>\n<meta name=\"author\" content=\"Alessio Gandini\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:title\" content=\"Arricchire le pipeline di CD\/CI con la static code analysis utilizzando SonarQube\" \/>\n<meta name=\"twitter:description\" content=\"Integrare SonarQube per la static code analysis nelle pipeline di CI\/CD\" \/>\n<meta name=\"twitter:image\" content=\"https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/twitter-shared-link-8.png\" \/>\n<meta name=\"twitter:label1\" content=\"Scritto da\" \/>\n\t<meta name=\"twitter:data1\" content=\"Alessio Gandini\" \/>\n\t<meta name=\"twitter:label2\" content=\"Tempo di lettura stimato\" \/>\n\t<meta name=\"twitter:data2\" content=\"12 minuti\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\/\/schema.org\",\"@graph\":[{\"@type\":\"WebPage\",\"@id\":\"https:\/\/blog.besharp.it\/it\/come-arricchire-le-pipeline-di-cd-ci-con-la-static-code-analysis-utilizzando-sonarqube\/\",\"url\":\"https:\/\/blog.besharp.it\/it\/come-arricchire-le-pipeline-di-cd-ci-con-la-static-code-analysis-utilizzando-sonarqube\/\",\"name\":\"Come arricchire le pipeline di CD\/CI con la static code analysis utilizzando SonarQube - Proud2beCloud Blog\",\"isPartOf\":{\"@id\":\"https:\/\/blog.besharp.it\/it\/#website\"},\"datePublished\":\"2021-06-25T11:59:00+00:00\",\"dateModified\":\"2021-07-02T15:52:29+00:00\",\"author\":{\"@id\":\"https:\/\/blog.besharp.it\/it\/#\/schema\/person\/e7262d28e51528c2e420327f9b18cd43\"},\"description\":\"Come integrare SonarQube come strumento per la static code analysis in una pipeline di CD\/CI\",\"breadcrumb\":{\"@id\":\"https:\/\/blog.besharp.it\/it\/come-arricchire-le-pipeline-di-cd-ci-con-la-static-code-analysis-utilizzando-sonarqube\/#breadcrumb\"},\"inLanguage\":\"it-IT\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\/\/blog.besharp.it\/it\/come-arricchire-le-pipeline-di-cd-ci-con-la-static-code-analysis-utilizzando-sonarqube\/\"]}]},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\/\/blog.besharp.it\/it\/come-arricchire-le-pipeline-di-cd-ci-con-la-static-code-analysis-utilizzando-sonarqube\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Home\",\"item\":\"https:\/\/blog.besharp.it\/it\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"Come arricchire le pipeline di CD\/CI con la static code analysis utilizzando SonarQube\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\/\/blog.besharp.it\/it\/#website\",\"url\":\"https:\/\/blog.besharp.it\/it\/\",\"name\":\"Proud2beCloud Blog\",\"description\":\"il blog di beSharp\",\"alternateName\":\"Proud2beCloud Blog\",\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\/\/blog.besharp.it\/it\/?s={search_term_string}\"},\"query-input\":\"required name=search_term_string\"}],\"inLanguage\":\"it-IT\"},{\"@type\":\"Person\",\"@id\":\"https:\/\/blog.besharp.it\/it\/#\/schema\/person\/e7262d28e51528c2e420327f9b18cd43\",\"name\":\"Alessio Gandini\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"it-IT\",\"@id\":\"https:\/\/blog.besharp.it\/it\/#\/schema\/person\/image\/\",\"url\":\"https:\/\/secure.gravatar.com\/avatar\/eeb98518768d999bff24f8358b464fe2?s=96&d=mm&r=g\",\"contentUrl\":\"https:\/\/secure.gravatar.com\/avatar\/eeb98518768d999bff24f8358b464fe2?s=96&d=mm&r=g\",\"caption\":\"Alessio Gandini\"},\"description\":\"Cloud-native Development Line Manager @ beSharp, DevOps Engineer e AWS expert. Computer geek da quando avevo 6 anni, appassionato di informatica ed elettronica a tutto tondo. Ultimamente sto esplorando l'esperienza utente vocale e il mondo dell'IoT. Appassionato di cinema e grande consumatore di serie TV, videogiocatore della domenica.\",\"url\":\"https:\/\/blog.besharp.it\/it\/author\/alessio-gandini\/\"}]}<\/script>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"Come arricchire le pipeline di CD\/CI con la static code analysis utilizzando SonarQube - Proud2beCloud Blog","description":"Come integrare SonarQube come strumento per la static code analysis in una pipeline di CD\/CI","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/blog.besharp.it\/it\/come-arricchire-le-pipeline-di-cd-ci-con-la-static-code-analysis-utilizzando-sonarqube\/","og_locale":"it_IT","og_type":"article","og_title":"Arricchire le pipeline di CD\/CI con la static code analysis utilizzando SonarQube","og_description":"Integrare SonarQube per la static code analysis nelle pipeline di CI\/CD","og_url":"https:\/\/blog.besharp.it\/it\/come-arricchire-le-pipeline-di-cd-ci-con-la-static-code-analysis-utilizzando-sonarqube\/","og_site_name":"Proud2beCloud Blog","article_published_time":"2021-06-25T11:59:00+00:00","article_modified_time":"2021-07-02T15:52:29+00:00","og_image":[{"url":"https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/twitter-shared-link-8.png"}],"author":"Alessio Gandini","twitter_card":"summary_large_image","twitter_title":"Arricchire le pipeline di CD\/CI con la static code analysis utilizzando SonarQube","twitter_description":"Integrare SonarQube per la static code analysis nelle pipeline di CI\/CD","twitter_image":"https:\/\/blog.besharp.it\/wp-content\/uploads\/2021\/06\/twitter-shared-link-8.png","twitter_misc":{"Scritto da":"Alessio Gandini","Tempo di lettura stimato":"12 minuti"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"WebPage","@id":"https:\/\/blog.besharp.it\/it\/come-arricchire-le-pipeline-di-cd-ci-con-la-static-code-analysis-utilizzando-sonarqube\/","url":"https:\/\/blog.besharp.it\/it\/come-arricchire-le-pipeline-di-cd-ci-con-la-static-code-analysis-utilizzando-sonarqube\/","name":"Come arricchire le pipeline di CD\/CI con la static code analysis utilizzando SonarQube - Proud2beCloud Blog","isPartOf":{"@id":"https:\/\/blog.besharp.it\/it\/#website"},"datePublished":"2021-06-25T11:59:00+00:00","dateModified":"2021-07-02T15:52:29+00:00","author":{"@id":"https:\/\/blog.besharp.it\/it\/#\/schema\/person\/e7262d28e51528c2e420327f9b18cd43"},"description":"Come integrare SonarQube come strumento per la static code analysis in una pipeline di CD\/CI","breadcrumb":{"@id":"https:\/\/blog.besharp.it\/it\/come-arricchire-le-pipeline-di-cd-ci-con-la-static-code-analysis-utilizzando-sonarqube\/#breadcrumb"},"inLanguage":"it-IT","potentialAction":[{"@type":"ReadAction","target":["https:\/\/blog.besharp.it\/it\/come-arricchire-le-pipeline-di-cd-ci-con-la-static-code-analysis-utilizzando-sonarqube\/"]}]},{"@type":"BreadcrumbList","@id":"https:\/\/blog.besharp.it\/it\/come-arricchire-le-pipeline-di-cd-ci-con-la-static-code-analysis-utilizzando-sonarqube\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Home","item":"https:\/\/blog.besharp.it\/it\/"},{"@type":"ListItem","position":2,"name":"Come arricchire le pipeline di CD\/CI con la static code analysis utilizzando SonarQube"}]},{"@type":"WebSite","@id":"https:\/\/blog.besharp.it\/it\/#website","url":"https:\/\/blog.besharp.it\/it\/","name":"Proud2beCloud Blog","description":"il blog di beSharp","alternateName":"Proud2beCloud Blog","potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/blog.besharp.it\/it\/?s={search_term_string}"},"query-input":"required name=search_term_string"}],"inLanguage":"it-IT"},{"@type":"Person","@id":"https:\/\/blog.besharp.it\/it\/#\/schema\/person\/e7262d28e51528c2e420327f9b18cd43","name":"Alessio Gandini","image":{"@type":"ImageObject","inLanguage":"it-IT","@id":"https:\/\/blog.besharp.it\/it\/#\/schema\/person\/image\/","url":"https:\/\/secure.gravatar.com\/avatar\/eeb98518768d999bff24f8358b464fe2?s=96&d=mm&r=g","contentUrl":"https:\/\/secure.gravatar.com\/avatar\/eeb98518768d999bff24f8358b464fe2?s=96&d=mm&r=g","caption":"Alessio Gandini"},"description":"Cloud-native Development Line Manager @ beSharp, DevOps Engineer e AWS expert. Computer geek da quando avevo 6 anni, appassionato di informatica ed elettronica a tutto tondo. Ultimamente sto esplorando l'esperienza utente vocale e il mondo dell'IoT. Appassionato di cinema e grande consumatore di serie TV, videogiocatore della domenica.","url":"https:\/\/blog.besharp.it\/it\/author\/alessio-gandini\/"}]}},"_links":{"self":[{"href":"https:\/\/blog.besharp.it\/it\/wp-json\/wp\/v2\/posts\/3293"}],"collection":[{"href":"https:\/\/blog.besharp.it\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/blog.besharp.it\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/blog.besharp.it\/it\/wp-json\/wp\/v2\/users\/8"}],"replies":[{"embeddable":true,"href":"https:\/\/blog.besharp.it\/it\/wp-json\/wp\/v2\/comments?post=3293"}],"version-history":[{"count":0,"href":"https:\/\/blog.besharp.it\/it\/wp-json\/wp\/v2\/posts\/3293\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/blog.besharp.it\/it\/wp-json\/wp\/v2\/media\/3287"}],"wp:attachment":[{"href":"https:\/\/blog.besharp.it\/it\/wp-json\/wp\/v2\/media?parent=3293"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/blog.besharp.it\/it\/wp-json\/wp\/v2\/categories?post=3293"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/blog.besharp.it\/it\/wp-json\/wp\/v2\/tags?post=3293"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}