ローカルコードスキャンのためのCircleCI設定

Aikido Security Local Scanner は、Aikido Security のスキャンを自社環境内で実行できるツールです。これにより、コードが社外に出ることはありません。スキャンはローカルで実行され、その結果は Aikido Security プラットフォームにアップロードされます。この構成により、Local Scanner を CircleCI パイプラインに簡単に統合して、レポート目的で利用できます。

ローカルスキャンの設定方法

前提条件: ローカルスキャンを許可するアカウントが作成済みであることを確認してください。 ローカルスキャンアカウントの作成に関する詳細.

1. 認証トークンを取得する

1. 次へ移動し、 ローカルスキャナーの設定ページ.
2. 認証トークンを生成してコピーします。このトークンは一度しか表示できないので注意してください。
3. このトークンを引数として追加します --apikey プロジェクトで Local Scanner を実行する際に使用します。
4. 次へ移動して、このトークンを環境変数として保存してください プロジェクト設定 > 環境変数 > 環境変数を追加.

   

   API キーの入力欄と、変数を追加またはインポートするためのオプションを表示する環境変数管理インターフェース。

2. Local Scanner の実行

あとは、リポジトリでスキャナーを実行するだけです。 ​ ローカルスキャナーは、必ずデフォルトブランチでのみ起動されるようにしてください。Aikido では既定で、依存関係およびコードの問題についてリポジトリ内の 1 つのブランチをスキャンできます。通常は main または master ブランチです。そのため、Aikido プラットフォーム上でスキャン結果が混在しないよう、ローカルスキャナーはそのブランチでのみ実行することを推奨します。これはブランチフィルターを使って指定できます。

Docker を使用する

CircleCI パイプラインでローカルスキャナーを使う最も簡単な方法は、Docker イメージを使用することです。

例 .circleci/config.yml :

version: 2.1

jobs:
  run-aikio-scan:
    docker:
      - image: aikidosecurity/local-scanner:latest

    steps:
      - checkout:
          path: my-app
      - run:
          name: "Aikido スキャンを実行"
          command: aikido-local-scanner scan my-app --repositoryname my-app --branchname main --apikey "$AIKIDO_API_KEY"
workflows:
  my-workflow:
    jobs:
      - run-aikio-scan:
          filters:
            branches:
              only:
                - main

コマンドを実行する際に、 --branchname オプションを使って、希望するブランチを指定してください。

このリポジトリで最初のスキャンである場合、Aikido は指定した名前でリポジトリを作成し、すべてのスキャン結果をその中に保存します。以後のスキャン結果は、Aikido 内でこのリポジトリ名の下に集約されます。

既定ではすべてのスキャンタイプが実行されます。特定のスキャンだけを実行したい場合（例: SAST のみ）、 --scan-types オプション。CLI オプションの詳細は こちら.

でスキャンタイプを指定できます。リリース前にリポジトリをスキャンする際に役立つ、リリースゲーティングモードや PR ゲーティングモードでもスキャナーを実行できます。リリースゲーティングモードでは、リリース候補に未解決の問題がないことを確認できます。このモードで実行すると、スキャン完了後に選択した重大度以上の未解決の問題がある場合、スキャナープロセスは失敗します。PR ゲーティングモードは、PR で新たに導入された可能性のある問題をスキャンするために使用できます。

リリースゲーティングモードまたは PR ゲーティングモードの詳細は、 この記事.

3. スキャン結果を確認する

最初のスキャンが完了したら、Aikido Feed に移動して結果を確認できます。指定した名前のリポジトリが作成され、スキャンのすべての結果が含まれます。