ローカルコードスキャンのためのBitbucketパイプラインセットアップ

Aikido Security Local Scannerは、お使いの環境内でAikido Securityのスキャンを実行できるツールで、コードが社外に出ることはありません。スキャンはローカルで実行され、その結果がAikido Securityプラットフォームにアップロードされます。このセットアップにより、レポート作成を目的として、Local ScannerをBitbucketプロジェクトに簡単に統合できます。

Local Scanningのセットアップ方法

前提条件：Local Scanningが利用可能なアカウントを作成済みであることを確認してください。Local Scanningアカウントの作成に関する詳細情報。

1. 認証トークンを取得する

Local Scannerセットアップページに移動します。
認証トークンを生成してコピーします。このトークンは一度しか表示されないことに注意してください。
パイプラインで使用できるように、認証トークンをBitbucketのRepository variablesに追加します。これを行うには、Repository Settingsに移動します。次に、Pipelines > Repository variablesに移動します。そこで、キーにAIKIDO_API_KEY、値にコピーしたトークンの内容を指定して認証トークンを追加できます。

2. Local Scannerを実行する

Local Scannerがデフォルトブランチでのみトリガーされるようにしてください。デフォルトでは、Aikidoはリポジトリ内の1つのブランチ（通常はmainまたはmasterブランチ）に対して、依存関係とコードの問題のスキャンをサポートしています。そのため、Aikidoプラットフォーム上でスキャン結果が混在しないよう、Local Scannerはそのブランチでのみ実行することを推奨します。

Dockerを使用する

Bitbucket PipelinesでLocal Scannerを使用する最も簡単な方法は、Dockerイメージを使用することです。

bitbucket-pipelines.ymlの例：

image: aikidosecurity/local-scanner:latest

pipelines:
  branches:
    main:
      - step:
          name: Run Aikido scan
          script:
            - aikido-local-scanner scan . --repositoryname my-bitbucket-app --branchname main --apikey $AIKIDO_API_KEY

コマンドを実行する際に、--branchnameオプションを使用して対象のブランチを指定してください。

このリポジトリに対する初回のスキャンの場合、Aikidoは指定した名前でリポジトリを作成し、すべてのスキャン結果をそこに格納します。以降のスキャン結果は、Aikido内のこのリポジトリ名の下に集約されます。

デフォルトではすべてのスキャンタイプが実行されます。一部のスキャンのみ（例：SASTスキャンのみ）を実行したい場合は、--scan-typesオプションでスキャンタイプを指定できます。CLIオプションの詳細についてはこちらをご覧ください。

スキャナーをリリースゲーティングモードまたはPRゲーティングモードで実行することもできます。リリースゲーティングモードは、リリース前にリポジトリをスキャンする際に役立ち、リリース前に未解決の問題がないことを確認できます。リリースゲーティングモードで実行すると、スキャン完了後に選択した重大度以上の未解決の問題がある場合、スキャナーのプロセスは失敗します。PRゲーティングモードは、PRで新たに混入した可能性のある問題をスキャンするために使用できます。

リリースゲーティングモードまたはPRゲーティングモードの詳細については、こちらの記事をご覧ください。

3. スキャン結果を確認する

最初のスキャンが完了したら、Aikido Feedに移動して結果を確認できます。指定した名前のリポジトリが作成されており、スキャンのすべての結果が含まれています。