如何在私有托管Gitlab实例上配置使用Snyk

首先确认你使用的是Snyk付费团队/企业版，仅付费版本支持自托管Gitlab集成，免费版仅可对接SaaS版Gitlab。

• 第一步：生成自托管Gitlab个人访问令牌（PAT）
  登录你的自托管Gitlab实例，进入用户偏好设置-访问令牌页面，勾选api、read_repository、write_repository权限，如需Snyk自动提交修复MR还需额外勾选read_user权限，设置合理的过期时间后生成令牌，妥善保存备用。
• 第二步：配置Snyk自托管Gitlab集成
  进入Snyk控制台的集成管理页面，找到Gitlab集成选项，选择自托管Gitlab类型（不要使用默认的SaaS Gitlab选项），依次填入你的自托管Gitlab实例根地址（如https://gitlab.yourcorp.com）、上一步生成的PAT，点击完成连接验证，验证通过后即可按照通用流程导入需要扫描的仓库、开启自动扫描、MR检查等功能。
• 第三步：CI/CD集成场景调整
  如果你选择通过Gitlab CI运行Snyk扫描而非控制台直接集成，只需要在Gitlab项目/组的CI变量中新增三个变量：SNYK_TOKEN（你的Snyk账号令牌）、GITLAB_TOKEN（自托管Gitlab PAT）、GITLAB_URL（自托管Gitlab实例地址），原有Snyk CI脚本无需额外修改，Snyk CLI会自动读取上述变量对接私有实例。

注意：如果你的自托管Gitlab实例未对外开放公网访问，需要部署Snyk Broker作为内网代理，转发Snyk的请求到内部Gitlab实例，无需将Gitlab暴露到公网。

如果Snyk方案无法落地，可选择以下同类工具：

• Dependabot自托管版：官方原生支持对接自托管Gitlab，可直接部署Dependabot服务到内部网络，配置对应PAT即可实现依赖漏洞扫描、自动提交依赖更新MR，完全适配私有代码库场景。
• Trivy：开源轻量安全扫描工具，支持依赖漏洞、容器镜像漏洞、配置错误扫描，可直接集成到自托管Gitlab CI中，不需要对接外部服务，支持完全私有化部署。
• Gitlab原生依赖扫描：如果你使用的是自托管Gitlab旗舰版，自带依赖扫描、漏洞管理能力，不需要额外对接第三方工具，直接在CI中开启官方提供的扫描模板即可使用。

内容的提问来源于stack exchange，提问作者HellishHeat