Architecture de référence¶

Vue d'ensemble¶

L'architecture de référence combine SonarQube comme service centralise de quality gate et Semgrep CLI comme outil SAST integre au pipeline CI. SonarQube est un service persistant avec son propre stockage, tandis que Semgrep est stateless et s'execute dans le pipeline.

graph TD
    subgraph Dev["Developpeurs"]
        IDE["IDE<br/>SonarLint"]
        Nav["Navigateur<br/>Dashboard"]
    end
    subgraph Host["Hote SonarQube"]
        Proxy["Reverse Proxy<br/>(Traefik)"]
        subgraph SQ["SonarQube Server"]
            Web["Web Server"]
            CE["Compute Engine"]
            ES["Elasticsearch<br/>(Search Engine)"]
        end
        PG["PostgreSQL<br/>(persistance)"]
    end
    subgraph CI["Pipeline CI (Runner)"]
        Semgrep["Semgrep CLI<br/>(SAST)"]
        Scanner["SonarQube<br/>Scanner CLI<br/>(analyse)"]
    end
    IDE --> Proxy
    Nav -->|HTTPS 443| Proxy
    Proxy --> SQ
    SQ --> PG
    Scanner --> Proxy

Composants SonarQube¶

Web Server¶

Le composant Web Server gère l'interface utilisateur, l'API REST et la communication avec le Compute Engine.

Compute Engine (CE)¶

Le Compute Engine traite les rapports d'analyse soumis par les scanners. C'est le composant le plus consommateur de ressources.

Elasticsearch (Search Engine)¶

SonarQube embarque une instance Elasticsearch pour l'indexation des résultats et la recherche.

PostgreSQL¶

Backend de persistance pour les projets, regles, quality profiles, mesures historiques et configuration.

Architecture Semgrep¶

Semgrep CLI (recommande)¶

Semgrep CLI est un outil stateless qui s'execute dans le pipeline CI sans serveur persistant.

graph LR
    subgraph CI["Pipeline CI (Runner)"]
        Code["Code source"] --> Semgrep["Semgrep CLI"]
        Rules["Rulesets (YAML)"] --> Semgrep
        Semgrep --> Results["Resultats<br/>(SARIF/JSON)"]
    end

Semgrep App (optionnel)¶

Semgrep App est un dashboard SaaS pour centraliser les résultats des scans Semgrep. Non recommande pour les organisations avec des contraintes de confidentialite (les résultats transitent par le SaaS).

Déploiement combine¶

Flux d'analyse dans le pipeline CI¶

graph TD
    subgraph CI["Pipeline CI"]
        A["1. Checkout code"] --> B["2. Semgrep<br/>SAST scan (~30s)"]
        A --> C["3. Build + Tests<br/>(coverage)"]
        B --> D["4. SonarQube Scanner<br/>- Code source<br/>- Rapport couverture (lcov/jacoco)<br/>- Rapport Semgrep (SARIF import)"]
        C --> D
        D --> E["5. Quality gate check<br/>- Attend le resultat du CE<br/>- Pass / Fail → statut PR"]
    end

Points d'integration¶

Dimensionnement¶

SonarQube¶

Regles de dimensionnement¶

• Heap JVM SonarQube (Web + CE) : -Xmx = 50% de la RAM du conteneur
• Heap Elasticsearch : -Xmx = 25-50% de la RAM restante, maximum 2 Go
• SSD obligatoire pour Elasticsearch — un HDD degrade les performances de 10x
• Un scan consomme environ 1 Go de RAM par million de lignes analysees
• PostgreSQL : prevoir 100 Mo par projet pour les mesures historiques (1 an)

Semgrep¶

Sécurité réseau¶

Flux réseau¶