La creación de un Ciclo de Vida de Desarrollo de Software seguro (sSDLC) está empezando a convertirse en una de las formas más completas de asegurar el desarrollo seguro de aplicaciones web y móviles. En un escenario de Integración Continua y Entrega Continua (CICD) podríamos utilizar SonarQube en nuestros Pipelines, para realizar los análisis de código de una manera automatica.

En esta primera parte vamos a instalar un servidor de SonarQube sobre Ubuntu 18.04.

Creamos el usuario.

sudo useradd -M -r -s /usr/sbin/nologin sonar

Vamos a instalar Java y algunos paquetes necesarios.

sudo apt-get update 

sudo apt-get upgrade -y 

sudo apt-get install unzip wget net-tools openjdk-8-jre -y

Ya hemos instalado los componentes y tenemos el usuario creado, sin shell, para sonar. Vamos a instalar nuestra base de datos Postgresql. Las nuevas versiones de SonarQube han deprecado el soporte a MySQL.

sudo apt-get update 

echo "deb http://apt.postgresql.org/pub/repos/apt/ $(lsb_release -cs)-pgdg main" > /etc/apt/sources.list.d/pgdg.list 

wget --quiet -O - https://www.postgresql.org/media/keys/ACCC4CF8.asc | sudo apt-key add - 

sudo apt-get update

Procedemos a la instalación, en mi caso voy a ir por la version 11.

sudo apt-get install postgresql-11 -y

Ingresamos a Postgresql y creamos el usuario de Base de Datos. Tambien lo llamamos ‘sonar’.

su - postgres createuser sonar

Creamos una base de datos y hacemos que el usuario ‘sonar’ sea el propietario de esa base de datos.

psql 

ALTER USER sonar WITH ENCRYPTED password 'TUPASSWORD'; 

CREATE DATABASE sonar OWNER sonar;

Vamos a descargar SonarQube. Voy a instalar la version 7.5, no es la ultima, que es compatible con Java 8.

wget https://binaries.sonarsource.com/Distribution/sonarqube/sonarqube-7.5.zip

Descomprimimos y ubicamos en la carpeta /opt/ para luego crear la carpeta /opt/sonar.

sudo unzip sonarqube-7.5.zip -d /opt/ 

cd /opt 

sudo mv sonarqube-7.5 sonar

Vamos a darle derechos a ‘sonar’ a la carpeta /opt/sonar, recién creada.

sudo chown -R sonar:sonar /opt/sonar

Ahora vamos a configurar SonarQube, tenemos que agregar algunas lineas en /opt/sonar/conf/sonar.properties. Entre ellas el usuario y password de Base de Datos, el puerto que vamos a consultar y desde donde se podrá consultar.

sonar.jdbc.username=sonar 
sonar.jdbc.password='TUPASSWORD' 
sonar.jdbc.url=jdbc:postgresql://localhost/sonar 
sonar.web.javaAdditionalOpts=-server sonar.web.port=30000 
sonar.web.host=0.0.0.0

De esta manera ya lo vamos a tener configurado para que trabaje en el puerto 30000, en localhost, y podrá accederse de cualquier lugar. Si llegaríamos a poner un Proxy Reverso, como Nginx o Apache, seria importante cambiar el 0.0.0.0 por 127.0.0.1.

Vamos a crear el archivo para manejar el servicio. Creamos /etc/systemd/system/sonar.service y copiamos lo siguiente.

[Unit]
Description=SonarQube service
After=syslog.target network.target

[Service]
Type=forking

ExecStart=/opt/sonar/bin/linux-x86-64/sonar.sh start
ExecStop=/opt/sonar/bin/linux-x86-64/sonar.sh stop

User=sonar
Group=sonar
Restart=always

[Install]
WantedBy=multi-user.target

Ultimos retoques para levantar el servicio.

sudo systemctl daemon-reload
sudo systemctl enable sonar
sudo systemctl start sonar && systemctl status sonar

Vamos ver si estamos en linea. Hacemos un:

curl http://127.0.0.1:30000

Nos debería salir algo asi:

Ya podríamos verlo en nuestro navegador.

En la próxima entrada conectaremos Jenkins, via Sonar Scanner, para realizar un relevamiento de Código sobre Python.