Was ist neu in Eficode ROOT: April 2025

Bitbucket

Im vergangenen Monat haben wir uns auf das Upgrade von Bitbucket-Instanzen mit einem einzelnen Node konzentriert. In diesem Monat setzen wir die Bitbucket-Upgrades fort und verlagern den Fokus auf Multi-Node-Instanzen sowie die Migration von Elasticsearch zu OpenSearch.

Mit dem Upgrade auf 9.4.3 LTS wechseln wir zu Platform 7 und profitieren von bedeutenden architektonischen Verbesserungen sowie einer höheren Performance. Dieses Update modernisiert das zugrunde liegende Framework von Bitbucket und sorgt für bessere Skalierbarkeit und langfristigen Support. Platform 7 stellt einige ältere APIs ein. Teams sollten daher die Kompatibilität ihrer individuellen Integrationen überprüfen. Euch erwarten eine flüssigere Benutzeroberfläche, eine verbesserte Repository-Verwaltung und Sicherheitsverbesserungen nach aktuellen Best Practices.

Der Sprung von 8.19.13 auf 9.4.3 LTS ist groß, macht unsere Entwicklungs-Workflows jedoch zukunftssicher. Zahlreiche Atlassian- und Drittanbieter-Komponenten werden aktualisiert, sodass ihr von den neuesten Sicherheitspatches und Fehlerbehebungen profitiert. Freut euch auf ein schnelleres und robusteres Bitbucket-Erlebnis!

Reviewer-Gruppen als Code Owners hinzufügen

Mit dieser Funktion könnt ihr Reviewer-Gruppen als Code Owners festlegen. Dadurch werden Teams automatisch für bestimmte Bereiche der Codebasis verantwortlich gemacht und der Review-Prozess vereinfacht. So sind bei Code Reviews immer die richtigen Experten beteiligt, was die Zusammenarbeit und Codequalität verbessert. Stellt sicher, dass dies innerhalb eurer Teams geregelt ist! Mehr erfahrt ihr hier.

Echte Benutzer-Avatare in E-Mail-Benachrichtigungen deaktiviert

Das neueste Update deaktiviert aufgrund einer gemeldeten Sicherheitslücke den anonymen Zugriff auf Avatare. Das bedeutet, dass ihr in E-Mail-Benachrichtigungen statt echter Benutzer-Avatare Standard-Avatare seht. Gebt uns bitte Bescheid, wenn ihr weiterhin echte Benutzer-Avatare in E-Mail-Benachrichtigungen anzeigen möchtet.

Mehrzeilige Kommentare

Verbesserungen der Diff-Ansicht ermöglichen es euch jetzt, Kommentare und Aufgaben zu bestimmten Zeilenbereichen hinzuzufügen. Indem sie die Kommentarmarkierung über mehrere Codezeilen ziehen oder das Symbol „+“ verwenden, können Reviewer präziseres Feedback und mehr Kontext direkt im Code geben. Das vereinfacht die Teamkommunikation und den Review-Prozess. Mehr erfahren.

Mehrzeilige Vorschläge

Das aktuelle Upgrade verbessert Code Reviews mit mehrzeiligen Vorschlägen. Reviewer können damit Änderungen an mehreren Zeilen in einem einzigen Vorschlag empfehlen. Das macht Feedback konkreter, reduziert Rückfragen und beschleunigt den Review-Prozess. Durch klarere und umfassendere Änderungsvorschläge können Teams effektiver zusammenarbeiten und eine hohe Codequalität sicherstellen. Mehr erfahrt ihr hier.

Neues Login-Erlebnis mit Zwei-Schritt-Verifizierung

Das aktuelle Upgrade führt ein neues Login-Erlebnis mit Zwei-Schritt-Verifizierung ein und erhöht damit die Kontosicherheit. Benutzer können jetzt die Zwei-Schritt-Verifizierung einrichten und ihre Identität beim Login über eine Authentifizierungs-App bestätigen. Das bietet zusätzlichen Schutz für ihre Atlassian-Konten. Diese Verbesserung vereinfacht die Aktivierung und Verwaltung der Zwei-Schritt-Verifizierung und sorgt für eine reibungslosere und sicherere Authentifizierung. Mehr erfahrt ihr hier.

API-Änderungen

Ihr könnt jetzt die REST API verwenden, um die Zusammenfassung der Diff-Statistiken für Commits und Pull Requests abzurufen. Diese enthält die Gesamtzahl hinzugefügter und entfernter Codezeilen sowie die Anzahl geänderter Dateien.

Gray-APIs wurden aus Bitbucket Data Center entfernt. Dadurch verringert sich der Umfang der Drittanbieter-Bibliotheken und das Abhängigkeitsmanagement wird verbessert.

Branch-Erstellung mit neuer Berechtigung verhindern

Es wurde eine neue Berechtigung eingeführt, mit der sich die Erstellung neuer Branches in Repositories einschränken lässt. Diese Berechtigung kann auf bestimmte Branching-Patterns oder -Modelle angewendet und in einem kaskadierenden Merge-Workflow verwendet werden. Nicht autorisierte Benutzer erhalten beim Versuch, eingeschränkte Branches zu erstellen, eine Fehlermeldung.

GitLab

GitLab wird von 17.8.4 auf 17.9.3 aktualisiert und erhält mehrere wichtige Verbesserungen. Das Update verbessert die Genehmigungen von Merge Requests und vereinfacht so den Code-Review-Prozess. Die Performance von CI/CD-Pipelines wurde optimiert, um Laufzeiten zu verkürzen und die Effizienz zu steigern. Zusätzlich stärken Sicherheitsverbesserungen – darunter eine verbesserte Secret Detection und erweiterte Compliance-Kontrollen – den Schutz des gesamten Systems. Diese Updates sollen Entwicklungs-Workflows, Sicherheit und Performance verbessern.

Administration

Zugriffstoken mit dem Scope `self_rotate` rotieren (alle Benutzer)

Ihr könnt jetzt den Scope self_rotate verwenden, um Zugriffstoken zu rotieren. Dieser Scope steht für persönliche, Projekt- und Gruppen-Zugriffstoken zur Verfügung. Bisher waren dafür zwei Anfragen erforderlich: eine zum Abrufen eines neuen Tokens und eine weitere zur Rotation des Tokens. Mit dem Scope self_rotate könnt ihr persönliche, Projekt- oder Gruppen-Zugriffstoken mit nur einer Anfrage rotieren. Damit entfällt der bisherige zweistufige Prozess, bei dem zunächst ein neues Token abgerufen und anschließend die Token-Rotation durchgeführt wurde. Mehr erfahrt ihr hier.

Ein Compliance-Framework über das Compliance Center eines Projekts anwenden (Premium, Ultimate)

GitLab 17.2 ermöglichte es Gruppen-Ownern zunächst, Compliance-Frameworks für alle Projekte innerhalb einer Gruppe über das Compliance Center der Gruppe zu verwalten. Diese Funktion wurde erweitert: Gruppen-Owner können Compliance-Frameworks nun auf Projektebene anwenden und entfernen. Das vereinfacht die Anwendung und Überwachung von Compliance.

Hinweis: Die Verwaltung von Compliance-Frameworks auf Projektebene bleibt ausschließlich Gruppen-Ownern vorbehalten und steht Projekt-Ownern nicht zur Verfügung. Mehr erfahren hier.

Unterstützung für zusätzliche Gruppenmitgliedschaften mit mehreren OIDC-Providern (Premium, Ultimate)

Bei der Nutzung mehrerer OIDC-Provider könnt ihr jetzt zusätzliche Gruppenmitgliedschaften konfigurieren. Bisher war dies auf eine einzige Gruppenmitgliedschaft beschränkt. Mehr erfahren hier.

Neue Berechtigungen für benutzerdefinierte Rollen und Unterstützung benutzerdefinierter Rollen in Genehmigungsrichtlinien für Merge Requests (Ultimate)

Ihr könnt jetzt benutzerdefinierte Rollen als Genehmiger in Genehmigungsrichtlinien für Merge Requests zuweisen und benutzerdefinierte Rollen mit der Berechtigung Compliance-Dashboard lesen erstellen. Damit könnt ihr:

• Genehmigungsanforderungen an die Teamstrukturen und Verantwortlichkeiten eurer Organisation anpassen.

• Sicherstellen, dass die richtigen Rollen in den Review-Prozess eingebunden sind.

• Benutzern je nach ihren Aufgaben spezifische Berechtigungen gewähren.

• Rollen definieren, die auf die Anforderungen eurer Gruppe zugeschnitten sind.

• Die Anzahl der Benutzer reduzieren, die die Rolle Owner oder Maintainer benötigen.

Ihr könnt jetzt beispielsweise für Sicherheits-Reviews die Genehmigung durch Rollen im AppSec Engineering und für Lizenzfreigaben durch Compliance-Rollen verlangen. Mehr erfahren hier und hier.

Löschen aktiver Security-Policy-Projekte blockieren (Ultimate)

Mit Gruppen oder Projekten verknüpfte Security-Policy-Projekte können nicht mehr gelöscht werden. Um ein Security-Policy-Projekt zu löschen, müssen zunächst alle bestehenden Verknüpfungen mit Gruppen oder Projekten entfernt werden. Dieses Update verhindert das versehentliche Löschen aktiver Security Policies und gewährleistet deren kontinuierliche Durchsetzung und Schutz. Mehr erfahren hier.

Benutzerdefiniertes Ablaufdatum für rotierte Service-Account-Tokens (Premium, Ultimate)

Beim Rotieren eines Access Tokens für einen Service Account könnt ihr jetzt mit dem Attribut expires_at ein benutzerdefiniertes Ablaufdatum festlegen. Das ermöglicht eine detailliertere Verwaltung der Token-Laufzeiten und hilft euch, sichere Zugriffskontrollen aufrechtzuerhalten. Bisher liefen Tokens sieben Tage nach der Rotation automatisch ab. Mehr erfahren hier.

E-Mail-Benachrichtigungen für Service Accounts (Premium, Ultimate)

GitLab ermöglicht es euch jetzt, für jeden Service Account eine eigene benutzerdefinierte E-Mail-Adresse für den Empfang von E-Mail-Benachrichtigungen festzulegen. Diese Funktion verbessert die Überwachung von Prozessen und Ereignissen, da Benachrichtigungen direkt an die festgelegte E-Mail-Adresse gesendet werden, statt auf die Standard-Benachrichtigungseinstellungen angewiesen zu sein. Mehr erfahren hier.

AI

Composite Identity für sicherere AI-Verbindungen (alle Benutzer)

Composite Identity ermöglicht jetzt die gleichzeitige Authentifizierung als Service Account und als Benutzer. Das ist entscheidend für Anwendungsfälle mit AI Agents, bei denen Berechtigungen häufig auf dem anfragenden Benutzer basieren, der Agent jedoch eine eigene Identität benötigt. Eine Composite Identity ist ein neuer Identitätsprinzipal, der die Identität eines AI Agents repräsentiert und mit dem Benutzer verknüpft ist, der Aktionen anfordert.

Wenn ein AI Agent versucht, auf eine Ressource zuzugreifen, wird ein Composite-Identity-Token verwendet. Dieses Token gehört zu einem Service Account und ist zugleich mit dem Benutzer verknüpft, der die Anweisung erteilt. Bei Autorisierungsprüfungen werden beide Prinzipale berücksichtigt, bevor Zugriff gewährt wird. Das verbessert den Schutz von Ressourcen in GitLab. Mehr erfahren hier.

Projektdateien zu Duo Chat in VS Code und JetBrains IDEs hinzufügen (Premium, Ultimate)

Verbessert eure AI-gestützte Unterstützung beim Programmieren, indem ihr eure Projektdateien direkt in Duo Chat in VS Code und JetBrains hochladet. Durch das Hinzufügen eurer Projektdateien erhält Duo Chat ein tiefgreifendes Verständnis eurer Codebase und kann dadurch relevantere und präzisere AI-Unterstützung bieten. Dank dieser kontextbezogenen Funktion kann Duo Chat Code erklären, beim Debugging unterstützen und Codevorschläge machen, die zu eurem bestehenden Projekt passen. Mehr erfahren hier.

GitLab Duo Self-Hosted ist allgemein verfügbar (Ultimate)

GitLab Duo Self-Hosted ermöglicht es euch jetzt, die Leistungsfähigkeit generativer AI zu nutzen und gleichzeitig vollständige Datensouveränität und Datenschutz zu gewährleisten. Dazu könnt ihr Modelle nutzen, die entweder on-premise oder in einer privaten Cloud gehostet werden, als Quelle für GitLab Duo Chat oder Code Suggestions. Die Funktion ist mit entsprechender Lizenzierung allgemein in selbstverwalteten GitLab-Umgebungen verfügbar und unterstützt derzeit Open-Source-Modelle von Mistral auf vLLM oder AWS Bedrock, Claude 3.5 Sonnet auf AWS Bedrock sowie OpenAI-Modelle auf Azure OpenAI. Mehr erfahren hier.

UI/UX

Abhängigkeitsliste in Projekten nach Komponenten filtern (Ultimate)

Mit dem Komponentenfilter könnt ihr jetzt in der Abhängigkeitsliste eines Projekts nach Paketen anhand ihres Namens suchen. Mehr erfahren hier.

Verbesserte Sichtbarkeit bei Gruppenfreigaben (alle Benutzer)

Die neue Version bietet mehr Transparenz bei Gruppenfreigaben. Die Gruppenübersichtsseite enthält jetzt die Tabs „Freigegebene Projekte“ und „Freigegebene Gruppen“. So seht ihr, zu welchen Gruppen eure Gruppe eingeladen wurde und welche Projekte freigegeben sind. Diese vollständige Übersicht über Gruppenverbindungen und Freigaben in eurer Organisation vereinfacht die Prüfung und Verwaltung von Gruppenzugriffen. Mehr erfahren hier.

Work-Item-Typ ändern (alle Benutzer)

Ihr könnt jetzt den Typ eurer Work Items einfach ändern und eure Projekte dadurch effizienter verwalten. Mehr erfahren hier.

Projektintegrationen aus einer Gruppe über die REST API verwalten (alle Benutzer)

Projektintegrationen in GitLab können jetzt über die REST API und über eine Gruppe in der GitLab-UI verwaltet werden. Mehr erfahren hier.

DAST-Scans mit vollständiger Kontrolle über die UI konfigurieren (Ultimate)

Über die UI konfigurierte DAST-Scans bieten jetzt dieselbe detaillierte Steuerung wie Pipeline-basierte Scans, einschließlich vollständiger Authentifizierungskonfiguration, präziser Crawl-Einstellungen, erweiterter Scan-Timeouts, individuellem Scannerverhalten und gezielter Scan-Modi. Diese Konfigurationen können als wiederverwendbare Profile gespeichert werden, und jede Änderung wird mit Audit Events nachverfolgt. Die verbesserte Steuerung und detaillierten Audit Trails helfen euch, effektivere Sicherheitsscans durchzuführen und Compliance einzuhalten. So könnt ihr schnell den passenden Scan für jede Anwendung starten sowie Schwachstellen schneller finden und beheben. Mehr erfahren hier. 

Automatische Bereinigung von CI/CD-Pipelines (alle Benutzer)

Bisher war das Löschen alter CI/CD-Pipelines nur über die API möglich. GitLab führt jetzt eine Projekteinstellung ein, mit der ihr eine Ablaufzeit für CI/CD-Pipelines festlegen könnt. Pipelines und Artefakte, die diesen Aufbewahrungszeitraum überschreiten, werden automatisch gelöscht. Das kann den Speicherplatzbedarf reduzieren, die Performance verbessern und die Speichernutzung in Projekten mit zahlreichen Pipelines und großen Artefakten optimieren. Mehr erfahren hier.

Kommentare auf Wiki-Seiten (alle Benutzer)

Indem Kommentare direkt auf Wiki-Seiten aktiviert werden, macht Eficode ROOT eure Dokumentation zu einer dynamischen und interaktiven Plattform für die Zusammenarbeit im Team.

Vorteile von Kommentaren und Threads auf Wiki-Seiten:

• Diskussionen im Kontext: Führt Diskussionen direkt innerhalb der relevanten Inhalte.

• Vereinfachtes Feedback: Schlagt mühelos Verbesserungen und Korrekturen vor.

• Lebendige Dokumentation: Haltet eure Dokumentation aktuell und präzise.

• Wissensaustausch: Erleichtert den Austausch von Fachwissen und Erkenntnissen zwischen Teammitgliedern.

Mit Wiki-Kommentaren können Teams eine kollaborative Umgebung schaffen, in der sich die Dokumentation durch direktes Feedback und laufende Diskussionen organisch weiterentwickelt. So bleibt sie an den Anforderungen des Projekts ausgerichtet. Mehr erfahren hier.

Reporting

Credentials Inventory durchsuchen und filtern (Ultimate)

Die Credentials Inventory umfasst jetzt Such- und Filterfunktionen, die das Auffinden von Tokens und Keys erleichtern, welche bestimmte Kriterien wie ein Ablaufdatum erfüllen. Dies verbessert die bisherige statische Listenansicht. Mehr erfahren hier.

Audit-Ereignis für die Autorisierung von OAuth-Anwendungen (Premium, Ultimate)

Die neueste GitLab-Version verbessert das Security-Auditing mit einem neuen Audit-Ereignis: „Benutzer hat eine OAuth-Anwendung autorisiert“. Dieses Ereignis erfasst erfolgreiche Autorisierungen von OAuth-Anwendungen durch Benutzer, schließt damit eine bisherige Lücke bei der Audit-Protokollierung und gibt Security-Teams einen besseren Überblick über die Nutzung von OAuth-Anwendungen in einer GitLab-Instanz. Mehr erfahren hier.

IP-Adressen von Access Tokens anzeigen (alle Benutzer)

Die Informationen zur Nutzung von Personal Access Tokens wurden erweitert. Bisher konntet ihr nur sehen, wie lange die letzte Nutzung eines Tokens zurückliegt. Jetzt könnt ihr auch bis zu den letzten sieben IP-Adressen anzeigen, über die auf den Token zugegriffen wurde. Mit diesen zusätzlichen Informationen könnt ihr die Token-Nutzung besser nachverfolgen und mögliche unbefugte Zugriffe erkennen. Mehr erfahren hier.

Bessere Transparenz im Workflow: neue Einblicke in die Review-Zeit von Merge Requests (Premium, Ultimate)

Value Stream Analytics (VSA) enthält jetzt ein neues Ereignis: „Merge Request zuletzt genehmigt am“. Es verbessert die Nachverfolgung des Entwicklungs-Workflows. Das Ereignis kennzeichnet das Ende der Review-Phase und den Beginn entweder des letzten Pipeline-Durchlaufs oder der Merge-Phase. Damit erhalten Teams tiefere Einblicke in mögliche Optimierungen der Review-Zeiten. Das verkürzt letztlich die gesamte Entwicklungszykluszeit und beschleunigt die Softwarebereitstellung. Um beispielsweise die gesamte Review-Zeit eines Merge Requests zu ermitteln, könnt ihr eine VSA-Phase mit „Merge Request Reviewer erstmals zugewiesen“ als Startereignis und „Merge Request zuletzt genehmigt am“ als Endereignis erstellen. Mehr erfahren hier.

Nachverfolgung des Entwicklungs-Workflows.

Vereinfachter Zugriff auf Deployments in Projektumgebungen (alle Benutzer)

Die Umgebungsliste zeigt jetzt Details zu euren neuesten Deployments an, einschließlich des letzten erfolgreichen Deployments und, falls abweichend, des letzten Deployment-Versuchs. So erhaltet ihr einen schnellen Überblick über die Deployments eures Projekts, ohne jede Umgebung aufklappen zu müssen. Mehr erfahren hier.

Projektentwicklung

Dependency Scanning mit SBOM für Cargo-, Conda-, Cocoapods- und Swift-Projekte aktivieren (Ultimate)

GitLab führt einen neuen Dependency-Scanning-Analyzer ein, der SBOM verwendet. Dieser wird Gemnasium ersetzen, das noch bis GitLab 19.0 unterstützt wird.

Der SBOM-basierte Analyzer bietet bessere Sprachunterstützung, eine bessere GitLab-Integration und Reporting nach Industriestandards.

Er wird standardmäßig in der neuesten Dependency-Scanning-CI/CD-Vorlage für Projekte aktiviert, die Folgendes verwenden:

• C/C++/Fortran/Go/Python/R mit einer Datei conda-lock.yml.

• Objective-C mit einer Datei podfile.lock.

• Rust mit einer Datei cargo.lock.

• Swift mit einer Datei package.resolved.

Die Variable DS_ENFORCE_NEW_ANALYZER ist standardmäßig auf false gesetzt, sodass bestehende Benutzer weiterhin den Gemnasium-Analyzer verwenden.

Um zum neuen Analyzer zu migrieren, setzt DS_ENFORCE_NEW_ANALYZER auf true.

Um die Nutzung des neuen Analyzers vollständig zu verhindern, setzt DS_EXCLUDED_ANALYZERS auf dependency-scanning. Mehr erfahren hier.

Multi-Core Advanced SAST ermöglicht schnellere Scans (Ultimate)

Nutzer von GitLab Advanced SAST können jetzt Multi-Core-Scanning aktivieren, um die Performance zu verbessern und die Scan-Dauer deutlich zu verkürzen – insbesondere bei größeren Codebasen. Um diese Funktion zu aktivieren, setzt die CI/CD-Variable SAST_SCANNER_ALLOWED_CLI_OPTS ausschließlich für den Job gitlab-advanced-sast auf --multi-core N, wobei N die gewünschte Anzahl an Kernen darstellt. In der Dokumentation findet ihr Hinweise zur Auswahl des passenden Werts für N. Mehr erfahren hier.

OCI-basiertes GitOps mit der FluxCD-CI/CD-Komponente umsetzen (alle Benutzer)

Die neue FluxCD-Komponente vereinfacht die Umsetzung von GitOps Best Practices mit GitLab. Mit dieser Komponente könnt ihr Kubernetes-Manifeste in OCI-Images verpacken und in OCI-kompatiblen Container-Registries speichern. Außerdem könnt ihr die Images signieren und sofort eine FluxCD-Reconciliation starten. Mehr erfahren hier.

Benutzerdefinierte Stages in Ausführungsrichtlinien für Pipelines erzwingen (Ultimate)

Erweitert eure CI/CD-Pipelines mit unserer neuen Funktion zum Einfügen benutzerdefinierter Stages für Ausführungsrichtlinien von Pipelines. Dieses Update ermöglicht mehr Kontrolle und Flexibilität innerhalb eurer Pipelinestruktur und gewährleistet gleichzeitig die Einhaltung von Sicherheits- und Compliance-Standards.

Die wichtigsten Vorteile:

• Erweiterte Pipeline-Anpassung: Definiert und fügt benutzerdefinierte Stages an bestimmten Stellen in eure Pipeline ein, um die Ausführung von Jobs besser zu steuern.

• Verbesserte Sicherheit und Compliance: Stellt sicher, dass Sicherheits-Scans und Compliance-Prüfungen an optimalen Stellen in eurer Pipeline erfolgen, zum Beispiel nach dem Build und vor dem Deployment.

• Flexibles Richtlinienmanagement: Behaltet die zentrale Kontrolle über Richtlinien und gebt Entwicklungsteams gleichzeitig die Möglichkeit, Pipelines innerhalb der festgelegten Vorgaben anzupassen.

• Reibungslose Integration: Benutzerdefinierte Stages lassen sich einfach in bestehende Projekt-Stages und andere Richtlinientypen integrieren und verbessern so eure CI/CD-Workflows.

So funktioniert es

Mit der erweiterten Strategie inject_policy für Ausführungsrichtlinien von Pipelines könnt ihr benutzerdefinierte Stages in eurer Richtlinienkonfiguration definieren. Diese Stages werden anschließend mithilfe eines Algorithmus für gerichtete azyklische Graphen (DAG) intelligent mit den bestehenden Stages eures Projekts zusammengeführt. So wird die richtige Reihenfolge sichergestellt und Konflikte werden vermieden.

Ihr könnt beispielsweise ganz einfach eine benutzerdefinierte Stage für Sicherheits-Scans zwischen euren Build- und Deployment-Stages einfügen.

Wichtiger Hinweis: Die Stage inject_policy ersetzt die veraltete Stage inject_ci. Wechselt in den Modus inject_policy, um diese Vorteile zu nutzen. Dieser Modus wird zum Standard, wenn ihr Richtlinien im Richtlinieneditor mit Inject konfiguriert. Mehr erfahrt ihr hier.

Merge-Request-Variablen in Ausführungsrichtlinien für Pipelines unterstützen (Ultimate)

Ausführungsrichtlinien für Pipelines unterstützen jetzt zusätzliche Merge-Request-Variablen, sodass ihr CI/CD besser durchsetzen könnt. Mit diesen Variablen könnt ihr komplexere Richtlinien erstellen, die Details von Merge Requests für eine gezielte und effiziente Steuerung berücksichtigen.

Neu unterstützte Variablen

• CI_MERGE_REQUEST_SOURCE_BRANCH_SHA

• CI_MERGE_REQUEST_TARGET_BRANCH_SHA

• CI_MERGE_REQUEST_DIFF_BASE_SHA

Anwendungsfälle

• Implementiert erweiterte Sicherheits-Scans, indem ihr Änderungen im Quell- und Ziel-Branch vergleicht. So stellt ihr eine gründliche Code-Überprüfung und die Erkennung von Schwachstellen sicher.

• Erstellt dynamische Pipeline-Konfigurationen, die sich an die Besonderheiten jedes Merge Requests anpassen, um den Entwicklungsprozess effizienter zu gestalten.

Mehr erfahrt ihr hier.

Unterstützung für License Scanning bei Swift-Paketen (Ultimate)

GitLab unterstützt License Scanning für Swift-Pakete und bietet Nutzern, die Swift in ihren Projekten einsetzen, ein besseres Verständnis der Lizenzierung ihrer Swift-Pakete. Nutzer der Composition Analysis können über die Dependency List, SBOM-Berichte und die GraphQL API auf diese Daten zugreifen. Mehr erfahrt ihr hier.

Erste Schritte mit der GitLab-Integration für Kubernetes (alle Nutzer)

Dieses Release enthält neue Kubernetes-Getting-Started-Anleitungen mit leicht verständlichen Tutorials für das Deployment von Anwendungen auf Kubernetes – direkt mit GitLab oder mit FluxCD. Die Anleitungen richten sich an Einsteiger und erfahrene Nutzer und erfordern keine tiefgehenden Kubernetes-Kenntnisse.

Zusätzlich zu den Getting Started-Anleitungen haben wir eine Reihe von Empfehlungen für die Integration von GitLab in Kubernetes-Umgebungen zusammengestellt. Mehr erfahrt ihr hier.

Zugriff auf GitLab Pages für Gruppen steuern (alle Benutzer)

Der Zugriff auf GitLab Pages kann jetzt auf Gruppenebene eingeschränkt werden. Mit einer einzigen Einstellung können Gruppenbesitzer alle Pages-Websites innerhalb der Gruppe und ihrer Untergruppen nur für Projektmitglieder sichtbar machen. Diese zentrale Steuerung vereinfacht das Sicherheitsmanagement, da die Einstellungen nicht mehr für jedes einzelne Projekt angepasst werden müssen. Mehr erfahrt ihr hier.

Mehrere Pages-Websites mit parallelen Deployments betreiben (Premium, Ultimate)

GitLab Pages unterstützt jetzt parallele Deployments, sodass ihr mehrere Versionen eurer Websites gleichzeitig erstellen könnt. Jedes Deployment hat eine eindeutige URL, die auf eurem konfigurierten Präfix basiert, zum Beispiel project-123456.gitlab.io/prefix (mit einer eindeutigen Domain) oder namespace.gitlab.io/project/prefix (ohne).

Diese Funktion ist hilfreich für:

• Vorschau von Designänderungen oder Inhaltsaktualisierungen

• Testen von Website-Änderungen in der Entwicklung

• Überprüfen von Änderungen aus Merge Requests

• Pflege mehrerer Website-Versionen

Parallele Deployments laufen standardmäßig nach 24 Stunden ab, um Speicherplatz zu verwalten. Ihr könnt diesen Zeitraum jedoch anpassen oder Deployments so festlegen, dass sie nie ablaufen. Für die automatische Bereinigung werden parallele Deployments aus Merge Requests gelöscht, wenn der Merge Request zusammengeführt oder geschlossen wird. Mehr erfahrt ihr hier.

Ansicht mehrerer Pages-Deployments.

Von GitLab verwaltete Kubernetes-Ressourcen (Premium, Ultimate)

Von GitLab verwaltete Kubernetes-Ressourcen ermöglichen jetzt mehr Kontrolle und Automatisierung beim Deployment von Anwendungen in Kubernetes. Diese neue Funktion macht die manuelle Konfiguration von Kubernetes-Ressourcen für jede Umgebung überflüssig, indem sie diese automatisch bereitstellt und verwaltet. Mit den von GitLab verwalteten Kubernetes-Ressourcen können Namespaces und Service Accounts für neue Umgebungen automatisch erstellt, Zugriffsberechtigungen über Rollenbindungen verwaltet und weitere erforderliche Kubernetes-Ressourcen konfiguriert werden. Beim Deployment einer Anwendung erstellt GitLab automatisch die benötigten Kubernetes-Ressourcen auf Basis der bereitgestellten Ressourcenvorlagen. Das vereinfacht euren Deployment-Prozess und sorgt für Konsistenz über alle Umgebungen hinweg. Mehr erfahrt ihr hier.

Jenkins

Jenkins wird von 2.479.3 auf 2.492.2 aktualisiert. Das Update umfasst Änderungen an der UI-Konfiguration und Sicherheitskorrekturen.

Das Update umfasst Fehlerbehandlung, Stabilitätsverbesserungen, Optimierungen für die Pipeline-Ausführung und eine bessere Systemleistung. Ein Schwerpunkt dieses Updates liegt auf Plugin-Aktualisierungen, um Kompatibilität, Sicherheit und Zugriff auf die neuesten Funktionen zu gewährleisten. Diese Änderungen sollen eine zuverlässigere und effizientere CI/CD-Umgebung bieten.

JFrog Artifactory

JFrog Artifactory wird von Version 7.98.11 auf 7.104.12 aktualisiert und umfasst mehrere wichtige Verbesserungen und Sicherheitsupdates. Insbesondere sind Antworten der Bad Checksum Search REST API jetzt auf 10.000 Ergebnisse begrenzt, um die Performance zu optimieren. Außerdem erfordert die Ausführung der Aktion „Zap Cache“ für Remote-Repositories nun die Berechtigung „Manage“ oder „Delete“, was die Sicherheitsmaßnahmen verstärkt. Diese Verbesserungen sollen die Systemeffizienz erhöhen und die Prozesse der Artefaktverwaltung schützen.

Außerdem gibt es eine Breaking Change.

Artifactory hat die LDAP-Authentifizierung in einen anderen Microservice verschoben. Für ROOT-Kunden sind keine zusätzlichen Änderungen erforderlich, da wir prüfen, ob Anpassungen nötig sind, und diese im Rahmen eures Wartungsfensters vornehmen.

Machine Learning Repositories

Machine Learning Repositories mit dem FrogML SDK ist ein lokales Management-Framework für Machine-Learning-Projekte. Es dient als zentraler Speicher für Modelle und Artefakte und umfasst ein robustes Versionskontrollsystem. Es bietet lokale Repositories und ein SDK für die vereinfachte Bereitstellung und Auflösung von Modellen.

Zu den Vorteilen gehören:

• Sichere Speicherung: Schützt eure wertvollen Daten, indem ihr Modelle und andere Ressourcen in lokalen Artifactory-Repositories bereitstellt. So erhaltet ihr granulare Kontrolle über den Zugriff auf eure Modelle.

• Einfache Zusammenarbeit: Teilt und verwaltet eure Machine-Learning-Projekte effizient im Team.

• Einfache Versionskontrolle: Das Machine Learning Repositories SDK (FrogML) bietet ein benutzerfreundliches System zur Versionskontrolle. Ihr könnt verschiedene Versionen eurer Machine-Learning-Projekte benennen, kategorisieren (mithilfe von Namespaces) und nachverfolgen.

Mehr erfahren hier.

Helm Enforce Layout

Helm Enforce Layout stellt sicher, dass Helm Charts in euren Repositories so organisiert und strukturiert sind, dass Fehler beim Deployment vermieden werden. Dies wird erreicht durch:

• Vermeidung doppelter Chart-Pfade: Dadurch wird sichergestellt, dass in einem Repository nur eine Instanz eines Charts mit demselben Namen und derselben Version vorhanden ist. Das verhindert Verwirrung und gewährleistet die Integrität der Charts.

• Durchsetzung von Chart-Namen und -Versionen: Dadurch wird sichergestellt, dass Name und Version des Charts im Namen der paketierten Datei mit den Angaben in Chart.yaml übereinstimmen und den Standards für Semantic Versioning (SemVer) entsprechen. Das fördert Einheitlichkeit und Zusammenarbeit.

Mehr erfahren hier

Cleanup-Richtlinien: Release Bundle v2.

JFrog Cleanup Policies für Release Bundle v2 optimieren die Systemleistung, indem sie Platform- und Projektadministratoren ermöglichen, individuelle Richtlinien zum Entfernen ungenutzter Release Bundles zu definieren. Durch die Festlegung von Kriterien und Regeln können Administratoren einen wiederholbaren Cleanup-Prozess an die spezifischen Anforderungen ihrer Organisation anpassen. Mehr erfahren hier.

Clients für PyPI-Repositories hinzugefügt

PyPI-Repositories unterstützen jetzt die Clients Poetry und Twine. Mehr erfahren hier.

Pakete und Repositories

Mehrere Repositories mit einer Batch-Anfrage aktualisieren

Eine einzelne Batch-Anfrage kann jetzt mehrere Repositories gleichzeitig aktualisieren – auch bei einer Mischung aus Pakettypen (z. B. Docker, Maven) und Repository-Typen (z. B. lokal, remote). Mehr erfahren hier.

Virtuelle Repositories können Repositories enthalten, die nicht demselben Projekt zugewiesen oder mit diesem geteilt sind

Beim Bearbeiten einer virtuellen Repository-Konfiguration könnt ihr jetzt lokale und Remote-Repositories einbeziehen, die nicht demselben Projekt wie das virtuelle Repository zugewiesen sind oder mit ihm geteilt werden. Bei einer Aggregation wird in der Benutzeroberfläche eine Meldung mit einer Schaltfläche angezeigt. Ein Klick darauf öffnet eine Liste dieser Repositories. Diese Liste kann als CSV-Datei exportiert werden. Mehr erfahren hier.

Federated Repositories

Leistungsverbesserung für Federated Repositories

Die Performance der Spiegelung zwischen Federation-Mitgliedern wird durch eine neue Systemeigenschaft verbessert, die das Abrufen von Event-Eigenschaften in großen Mengen aus der Datenbank ermöglicht. Mehr erfahren hier.

Federated Repositories wieder in lokale Repositories umwandeln

Ihr könnt ein Federated Repository jetzt über eine REST API wieder in ein lokales Repository umwandeln, sofern es nicht Teil einer Federation mit weiteren Mitgliedern ist. Mehr erfahren hier.

Änderungen im Zusammenhang mit OCI und Docker

Erweiterte Unterstützung für Webhook-Events bei OCI- und Docker-Images

Die Webhook-Event-Funktionalität für Docker-Images umfasst jetzt auch OCI-Repositories und -Images.

• Der Support wurde um OCI-Repositories erweitert und bietet dadurch mehr Integrationsmöglichkeiten.

• Events im Zusammenhang mit OCI-Images werden jetzt vollständig unterstützt.

• Dem Event-Action-Payload wurde ein neuer Schlüssel image_type hinzugefügt. Er gibt an, ob die Aktion für ein OCI- oder Docker-Image ausgeführt wurde.

Mehr erfahrt ihr hier.

Zusätzliche Schlüssel für das Webhook-Promoted-Event in der Docker-Domain

Der Image-Promotion-Webhook in der Docker-Domain wurde um zwei zusätzliche Schlüssel erweitert:

• targetRepo: Das Repository, in das das Image übernommen wird.

• targetTag: Das neue Tag des übernommenen Images.

Mehr erfahrt ihr hier.

Aktiviertes SSO deaktiviert Basic Authentication standardmäßig

Wenn ihr Single Sign-On aktiviert, wird die interne Passwortauthentifizierung jetzt standardmäßig deaktiviert. Mehr dazu, wie ihr Basic-Authentication-Methoden deaktiviert, erfahrt ihr hier, und wie ihr die Multi-Faktor-Authentifizierung aktiviert, hier.

Bereinigungsrichtlinien

• Terraform: Terraform-Pakete werden jetzt in Cleanup unterstützt.

• Terraform-BE-Pakete: Terraform-BE-Pakete werden jetzt in Cleanup und Archive unterstützt.

• CocoaPods: CocoaPod-Pakete werden jetzt in Cleanup unterstützt.

• Hugging Face: Hugging-Face-Pakete werden jetzt in Cleanup unterstützt.

• OCI: Helm OCI- und OCI-Pakete werden jetzt in Cleanup und Archive unterstützt.

• Cargo: Cargo-Pakete werden jetzt in Cleanup und Archive unterstützt.

• Frog ML: Frog-ML-Modelle werden jetzt in Cleanup und Archive unterstützt.

• Ansible: Ansible-Pakete werden jetzt in Cleanup und Archive unterstützt.

Support für geplante Worker

JFrog unterstützt jetzt die Erstellung geplanter Worker, die zu vordefinierten Zeitpunkten oder in festgelegten Intervallen ausgelöst werden. Diese könnt ihr mit Cron-Ausdrücken definieren. Mehr erfahrt ihr hier.

JFrog Xray

JFrog Xray wird von Version 3.107.18 auf 3.111.20 aktualisiert. Das bringt wichtige Verbesserungen für Security Insights, das Nachverfolgen von Schwachstellen und klarere Integrationen.

Security-Übersicht für Builds

Das Update führt ein neues Dashboard „Builds Security Overview“ ein, das eine zentrale und umfassende Übersicht über Build-Versionen bietet. Mit diesem Dashboard könnt ihr Trends analysieren, die anfälligsten Komponenten identifizieren und Sicherheitsrisiken wirksam mindern. Mehr erfahrt ihr hier.

Zusammenfassung und Beschreibung des Jira-Tickets

Über die Xray/Jira-Integration erstellte Zusammenfassungen und Beschreibungen von Jira-Tickets wurden für mehr Klarheit und bessere Lesbarkeit optimiert.

Unterstützung für die Indizierung von Raw-Disk-Images

Zusätzlich unterstützt Xray jetzt die Indizierung von Raw-Disk-Images (.img) und SquashFS (.squashfs) und erweitert damit seine Funktionen zur Artefaktanalyse.

Unterstützung für drei zusätzliche Felder in der Beschreibung von CycloneDX-Schwachstellen

Diese drei zusätzlichen Felder verbessern den Detailgrad und die Vollständigkeit unserer CycloneDX-SBOM-Berichte erheblich:

• Schwachstellenbewertungen: Enthalten CVSS-Score, CVE-Schweregrad, Bewertungsmethode und Vektor.

• Schwachstellenbeschreibung: Eine detaillierte Beschreibung der jeweiligen Schwachstelle.

• Schwachstellen-CWEs: Eine Liste von CWEs (Common Weakness Enumeration), die zu dieser spezifischen CVE passen.

Weitere neue Funktionen

Verstoßberichte

JFrog hat den Repository-Pfad zu den generierten Verstoßberichten hinzugefügt.

Operational Risk Policy

Die erweiterte Operational Risk Policy ermöglicht jetzt die Anpassung des Release-Alters in Monaten, anstatt einen Standardbereich zu verwenden.

Secrets Detection

Die folgenden Repository-Typen werden jetzt unterstützt: RPM, Debian, Alpine, Go, RubyGems und Gradle.

JFrog Curation

Ab sofort könnt ihr eine Curation Policy direkt aus einer Bedingung erstellen. Neue Benutzer können jetzt einen geführten Onboarding-Prozess für Curation durchlaufen. Der Prozess enthält visuelle Hinweise zur Fortschrittsverfolgung und beschreibt die Schritte zum Aktivieren von Curation, Verbinden von Repositories und Festlegen von Policies.

Security Manager können jetzt eine neue Conditions Template nutzen, um Curation Policies auf Basis von OpenSSF-Scorecard-Ergebnissen zu erstellen. Policies, die auf dieser Vorlage basieren, können Drittanbieter-Pakete erkennen und blockieren, wenn deren Scorecard-Werte innerhalb eines definierten Bereichs liegen.

Curation Policies können jetzt auf aktuelle und zukünftige Repositories eines bestimmten Pakettyps angewendet werden.

RTM

Das kommende Upgrade auf RTM überspringt Version 2.26 und wechselt direkt von der aktuellen Version 2.27.

Verbesserungen

• Wir haben die Performance bei der Deaktivierung von Synchronizer-Benutzern durch die Implementierung einer batchbasierten Lösung verbessert.

• Um unterschiedlichen Anforderungen der Umgebungen gerecht zu werden, verwendet das neue Konfigurations-Flag 'synchronizer_deactivation_batch_size', um die Batch-Größe anzupassen.

Wichtige Hinweise

• Wir haben Unterstützung für Ubuntu 24.04 hinzugefügt.