Perguntas frequentes
Posso usar meu Gmail? Não. O cadastro aceita só e-mail corporativo.
O código do autenticador é obrigatório? Sim, em todo login. No Workspace ele é pedido de novo a cada entrada.
Security Gate
Seção intitulada “Security Gate”Quais escopos o token precisa?
Nenhum: o LEAVORY_TOKEN não tem escopos. Ele só baixa a base de datas e não dá acesso à sua conta, ao Azure
DevOps nem ao registry. Veja Gerar o token para as
permissões mínimas de quem guarda o token no Azure DevOps.
O Leavory recebe o meu relatório ou o meu código? Não. O step envia só o token, para receber o link de download da base de datas. A comparação é feita no seu agente.
A aba Exposure Age do Workspace e a pipeline usam a mesma regra? A mesma lógica, com limites configurados em lugares diferentes. Na aba, os limites ficam no seu navegador e servem para consulta. Na pipeline, valem os parâmetros do template.
Por que o número da aba é diferente do log da pipeline? A aba mostra uma linha por pipeline que encontrou a vulnerabilidade e pode estar olhando outra branch (filtro Data from). O log mostra só aquele build.
Por que uma vulnerabilidade aparece como “No date”? Nenhuma das quatro fontes tem a data, ou o ID não é CVE nem GHSA. Acontece com alertas publicados há poucas horas. Essas nunca quebram o build.
Se o Leavory sair do ar, a minha pipeline para? Não. Se a base não puder ser baixada, o step avisa e o build continua.
Quero aceitar o risco de uma vulnerabilidade específica.
Hoje, pelo .trivyignore do repositório: ela deixa de ser reportada e o Security Gate também não a vê. Use com
cuidado, porque fica ignorada até ser tirada do arquivo.
Funciona fora do Azure DevOps? O template gerado é para Azure DevOps. Para outras ferramentas de CI, fale com o suporte.
Workspace
Seção intitulada “Workspace”Quais permissões o Workspace precisa no Azure DevOps? Um PAT com cinco escopos, todos só de leitura: Project and Team, Code, Build, Graph e Service Connections. Veja Conectar o Azure DevOps.
O Workspace funciona com o GitHub? Sim. Um tenant pode conectar o Azure DevOps, o GitHub ou os dois, e tudo cai nas mesmas telas. O GitHub usa um token fine-grained com permissões só de leitura: Metadata, Contents, Actions, Administration e Members. Veja Conectar o GitHub.
O Leavory altera algo no meu Azure DevOps ou GitHub? Não. Todas as chamadas são de leitura.
Image Scan
Seção intitulada “Image Scan”Quanto tempo posso usar? Sem prazo. No plano gratuito o limite é de 5 imagens por conta; para aumentar, fale com o time comercial.
Preciso dar permissão de escrita no registry? Não. Use uma credencial dedicada, só de leitura (pull) e limitada aos repositórios escaneados. O passo a passo de cada registry está em Credenciais de registry.