OpenSCAP是CI/CD中部署前的系统配置合规门禁，用于验证SSH加固、密码策略等基础安全项并对标CIS/PCI-DSS/NIST标准；需预装SSG、选取profile、嵌入Jenkins/Tekton执行评估与修复闭环。
明确OpenSCAP在流水线中的定位
OpenSCAP不是用来替代SAST或容器镜像扫描的，它的核心价值是操作系统级配置合规性检查。它适合验证SSH加固、密码策略、SELinux状态、服务启用清单等基础安全项，输出结果直接对标CIS Benchmark、PCI-DSS、NIST SP 800-53等标准。在CI/CD中，它应作为“系统配置门禁”嵌入构建后、部署前的环节，而非运行时或开发阶段工具。
准备可复用的安全内容与环境
先确保目标系统（如CentOS 7/8、RHEL 9、Ubuntu 22.04）已安装对应版本的SCAP Security Guide（SSG）。例如在RHEL系上执行：
- yum install -y scap-security-guide（自动安装预编译的DataStream文件）
- 检查可用策略：oscap info /usr/share/xml/scap/ssg/content/ssg-rhel9-ds.xml
- 提取具体Profile列表：oscap info /usr/share/xml/scap/ssg/content/ssg-rhel9-ds.xml | grep "Profile:"
推荐从xccdf_org.ssgproject.content_profile_cis或_pci-dss起步，它们结构清晰、修复指引明确，适合首次集成。
在Jenkins或Tekton中嵌入扫描任务
以Jenkins为例，在Pipeline的test或security-gate阶段加入以下逻辑：
- 在agent节点安装openscap-scanner（确保有root权限或sudo能力）
- 执行评估并生成HTML报告：
oscap xccdf eval --profile xccdf_org.ssgproject.content_profile_cis --report report.html /usr/share/xml/scap/ssg/content/ssg-rhel9-ds.xml - 用
oscap xccdf eval --fetch-remote-resources支持远程OVAL定义（需网络可达） - 将
report.html归档为构建产物，并用JUnit插件解析.xml格式结果实现失败自动阻断
若使用Tekton，可封装为Task：基于registry.access.redhat.com/ubi9/python-311镜像，挂载SSG内容路径，通过script字段调用oscap命令，输出结果写入/workspace/output供后续步骤消费。
让结果驱动修复与持续收敛
扫描只是起点，关键在于闭环。建议三步走：
-
失败即阻断：设置
--results-arf results-arf.xml输出ARF格式，配合脚本提取rule-result中fail数量，非零则exit 1 -
一键修复尝试：对支持自动修复的规则（如
sshd_disable_empty_passwords），用oscap xccdf generate fix导出Bash脚本并执行（注意人工审核后再上线） - 基线版本化：把选定的DataStream文件和Profile配置纳入Git仓库，每次变更都触发流水线重跑，确保安全策略演进可审计、可回滚
不复杂但容易忽略。
