Checkov自定义策略在Azure DevOps测试结果中不显示的排查指南

问题背景

在使用Checkov进行Terraform AKS集群扫描时，用户发现自定义策略的扫描结果没有出现在Azure DevOps的测试结果中。虽然内置扫描能够正常显示，但自定义策略（无论是YAML还是Python编写）的结果却缺失了。

自定义策略实现分析

以用户提供的Kubernetes特权升级检查为例，这是一个典型的Checkov自定义策略实现：

from checkov.common.models.enums import CheckCategories, CheckResult
from checkov.kubernetes.checks.resource.base_container_check import BaseK8sContainerCheck

class KubernetesNoPrivilegeEscalationCheck(BaseK8sContainerCheck):
    def __init__(self):
        name = "确保Kubernetes容器不允许特权升级"
        id = "CUSTOM_K8S_6"
        supported_resources = [
            "kubernetes_pod",
            "kubernetes_deployment",
            "kubernetes_stateful_set",
            "kubernetes_daemonset",
            "kubernetes_replica_set"
        ]
        categories = [CheckCategories.KUBERNETES]
        super().__init__(name=name, id=id, categories=categories, supported_entities=supported_resources)

    def scan_container_conf(self, conf, metadata):
        if "spec" in conf:
            containers = conf["spec"].get("containers", [])
            for container in containers:
                security_context = container.get("securityContext", {})
                if security_context.get("allowPrivilegeEscalation", True):
                    return CheckResult.FAILED
            return CheckResult.PASSED
        return CheckResult.PASSED

这个检查逻辑是正确的，它继承自BaseK8sContainerCheck基类，并实现了scan_container_conf方法来检查容器配置中是否允许特权升级。

常见排查方向

1. 外部检查目录参数缺失 在运行Checkov扫描时，必须使用--external-checks-dir参数指定自定义策略所在的目录。这是最常见的问题原因。

2. 策略文件结构问题 自定义策略需要正确的文件结构：

   custom_checks/
   └── kubernetes/
       ├── __init__.py
       └── kubernetes_no_privilege_escalation_check.py
   

3. Azure DevOps结果解析问题 Azure DevOps可能对自定义策略的ID或输出格式有特殊要求。确保自定义策略ID以"CUSTOM_"开头是个好习惯。

4. 策略加载验证 可以在本地先运行扫描并添加--verbose参数，查看自定义策略是否被正确加载。

解决方案建议

1. 明确指定外部检查目录

   checkov -d . --external-checks-dir ./custom_checks
   

2. 验证策略加载 添加--verbose参数运行，确认输出中是否包含类似信息：

   Loading external checks from /path/to/custom_checks
   Found external check: CUSTOM_K8S_6
   

3. 检查策略注册 确保每个自定义策略文件底部都有实例化代码：

   scanner = KubernetesNoPrivilegeEscalationCheck()
   

4. Azure DevOps特定配置 检查Azure DevOps任务配置中是否启用了自定义策略结果收集。可能需要特定的输出格式或结果处理器。

深入技术细节

Checkov的自定义策略机制通过插件架构实现。当使用--external-checks-dir时，Checkov会：

1. 扫描指定目录下的Python文件
2. 查找所有继承自BaseCheck的类
3. 自动注册这些检查到相应的检查注册表中
4. 在执行扫描时调用这些检查

对于Kubernetes资源检查，还需要确保：

• 继承正确的基类（如BaseK8sContainerCheck）
• 实现适当的扫描方法（如scan_container_conf）
• 正确定义supported_resources列表

最佳实践

1. 为自定义策略使用清晰的前缀（如CUSTOM_）
2. 保持策略文件的模块化结构
3. 在本地验证后再集成到CI/CD流程
4. 考虑为自定义策略编写单元测试
5. 记录每个自定义策略的业务需求和实现细节

通过以上方法，可以确保自定义策略不仅能够正确执行，还能在Azure DevOps等CI/CD平台上正确显示结果。