Aikido Security Local Scanner は、コードが組織外に出ることなく、環境内で Aikido Security のスキャンを実行できるツールです。スキャンはローカルで行われ、その結果は Aikido Security プラットフォームにアップロードされます。このセットアップにより、レポート目的で Local Scanner を Azure DevOps Server プロジェクトに簡単に統合できます。
前提条件: ローカルスキャンを許可するアカウントが作成済みであることを確認してください。 ローカルスキャンアカウントの作成に関する詳細.
左側のナビゲーションで Pipelines に移動し、 パイプライン を選択し 新しいパイプライン または パイプラインを作成。Configure 手順で、 スターター パイプライン. 以下のサンプルパイプラインは、main ブランチで変更があったときにスキャンをトリガーします。最初のスキャンはデフォルトブランチで実行することが重要です。そうすることで、リポジトリが Aikido で正しくセットアップされます。
trigger:
branches:
include:
- main
pool:
vmImage: 'ubuntu-latest'
container:
image: aikidosecurity/local-scanner:latest
options: --entrypoint=""
steps:
- script: aikido-local-scanner scan $BUILD_SOURCESDIRECTORY --apikey $(AIKIDO_API_KEY) --repositoryname $BUILD_REPOSITORY_NAME --branchname mainこのリポジトリで最初のスキャンである場合、Aikido は指定した名前でリポジトリを作成し、すべてのスキャン結果をその中に保存します。以後のスキャン結果は、Aikido 内でこのリポジトリ名の下に集約されます。
既定ではすべてのスキャンタイプが実行されます。特定のスキャンだけを実行したい場合（例: SAST のみ）、 --scan-types オプション。CLI オプションの詳細は こちら.
でスキャンタイプを指定できます。リリース前にリポジトリをスキャンする際に役立つ、リリースゲーティングモードや PR ゲーティングモードでもスキャナーを実行できます。リリースゲーティングモードでは、リリース候補に未解決の問題がないことを確認できます。このモードで実行すると、スキャン完了後に選択した重大度以上の未解決の問題がある場合、スキャナープロセスは失敗します。PR ゲーティングモードは、PR で新たに導入された可能性のある問題をスキャンするために使用できます。
リリースゲーティングモードまたは PR ゲーティングモードの詳細は、 この記事.
次に、API キーを秘密変数として追加します。右上の Variables をクリックして、新しい変数を追加します。名前に AIKIDO_API_KEY を入力します。 この値を秘密にする チェックボックス。シークレット値を見つけるには、ステップ 2 に進んでください。
次へ移動し、 ローカルスキャナーの設定ページ
認証トークンを生成してコピーします。このトークンは一度しか表示できないので注意してください。
このトークンを、パイプライン設定で AIKIDO_API_KEY 変数の値として貼り付けます。
これで、パイプラインを初めて作成して実行できます。
最初のスキャンが完了したら、Aikido Feed に移動して結果を確認できます。リポジトリが作成され、スキャンのすべての結果が含まれます。
最終更新
役に立ちましたか？
役に立ちましたか？