Gerar o token

O step do Security Gate precisa de um token para baixar a base de datas de publicação. O nome da variável na pipeline é sempre LEAVORY_TOKEN.

O que o token permite

O LEAVORY_TOKEN tem um único uso, sem escopos para escolher: trocar o token por um link temporário (15 minutos) para baixar a base de datas assinada.

O token permite	O token não permite
Baixar a base de datas de publicação	Ler ou alterar nada da sua conta Leavory
	Acessar o Azure DevOps, o repositório ou o registry
	Enviar o relatório ou o código da pipeline ao Leavory

Por isso, se um token vazar, o risco é alguém consumir o limite diário dele. Mesmo assim, trate-o como segredo e revogue se ele aparecer em log ou repositório.

Regra	Valor
Chamadas por dia, por token	30 (cada execução do step faz uma). Ao passar do limite, o step pula a checagem com aviso
Tokens ativos por conta	2, para permitir a troca sem parar pipelines

Criar o token

1. Entre em hub.leavory.com/security-gate.
2. Clique em New token e dê um nome que diga onde ele roda, como payments-api · main pipeline.
3. Copie o valor na hora. Depois de fechar a tela ele não aparece de novo.

Permissões mínimas no Azure DevOps

Para guardar o token você precisa de uma das permissões abaixo. Nenhuma outra é necessária, e a pipeline não precisa de nenhuma permissão extra para usar o token.

Onde guardar	Permissão mínima de quem configura	Quando usar
Variável da pipeline	Edit build pipeline na pipeline	Uma pipeline só
Variable group (Library)	Papel Creator em Pipelines → Library para criar o grupo; Administrator no grupo para liberar pipelines	Várias pipelines com o mesmo token

Opção 1: variável da pipeline

Pipelines → abra a pipeline → Edit → Variables → New variable.

Campo	Valor
Name	LEAVORY_TOKEN
Value	o token copiado
Keep this value secret	marcado
Let users override this value when running this pipeline	desmarcado

Opção 2: variable group

1. Pipelines → Library → + Variable group.
2. Adicione a variável LEAVORY_TOKEN e clique no cadeado para torná-la secreta.
3. Em Pipeline permissions, libere só as pipelines que rodam o Security Gate. Evite Open access, que libera o grupo para qualquer pipeline do projeto.
4. Na pipeline, referencie o grupo:

variables:
  - group: leavory

Nota

Variáveis secretas só chegam a um script quando são mapeadas no env: do step. O template do Security Gate já faz esse mapeamento: basta a variável existir com o nome LEAVORY_TOKEN. Não use echo nem imprima o token em outros steps.

Revogar e trocar

Para trocar o token sem que nenhuma pipeline pule a checagem:

1. Crie o token novo (é para isso que existe o segundo).
2. Atualize a variável LEAVORY_TOKEN com o valor novo.
3. Revogue o token antigo no Hub.

Pipelines com um token revogado continuam rodando, mas pulam a checagem com o aviso de token recusado até a variável ser atualizada.