ローカルスキャナーを使用したJenkinsのPRゲーティング

Aikido Local Scanner は、CI パイプラインでセキュリティゲートを強制するために使用できます。

クラウド接続されたワークスペース（GitHub、BitBucket など）でも PR ゲーティングを使用できます。CI をご覧ください 統合セクション.

PR ゲーティングにより、新しいコードがデフォルトブランチにマージされる前に、セキュリティ基準を満たしていることを確認できます。これは、プルリクエストで導入された変更のみをスキャンします。スキャンで、設定した重大度しきい値に達する、またはそれを上回る新しい問題が検出された場合、CI パイプラインは失敗します。

これにより、新たな脆弱性の混入を防ぎつつ、既存の指摘には別途対応できます。

また、次もサポートしています リリースゲーティング リリース時にチェックを強制したいチーム向けです。

PR ゲーティングを有効にするには、次を追加してください --fail-on <severity> オプションで希望する重大度レベルを選択します。次に、次を追加してください --gating-mode pr オプションを追加して、PR ゲーティングを実行することを示します。また、ベース（--base-commit-id <commit-id>）とヘッドコミット（--head-commit-id <commit-id>）を指定する必要があります。ベースの commit id に対して以前にスキャンが実行されている場合、スキャン結果はそれと比較されます。そうでない場合、結果はデフォルトブランチでの最新のスキャンと比較されます。

Jenkins 環境で Local Scanner をセットアップする一般的な情報については、次を参照してください この記事.

仕組み

3 つの要素があります：

1. SCM と Jenkins の連携。
2. Multibranch Pipeline ジョブ で プルリクエストを検出 動作。これにより Jenkins は開いている各プルリクエストをビルドします。PR ビルドでは、Jenkins はソースブランチをチェックアウトし、標準の変更要求環境変数（CHANGE_ID, CHANGE_TARGET, CHANGE_BRANCH).
3. Aikido Local Scanner、あなたの Jenkinsfile 内で --gating-mode pr.

PR が作成/更新 ──► SCM が webhook を送信 ──► Jenkins Multibranch PR ビルド
                                                      │
                                                      ▼
                                        aikido-local-scanner --gating-mode pr
                                                      │
                                  新しい問題 ≥ --fail-on ?  ── はい ──► ビルド失敗
                                                      │                    │
                                                      いいえ                   ▼
                                                      ▼            ビルド状態 = FAILED
                                                ビルド成功               │
                                                      │                    ▼
                                                      ▼          SCM がマージをブロック
                                              SCM チェック合格

Multibranch Pipeline のセットアップ

プルリクエストのビルドには マルチブランチ パイプライン ジョブが必要です。

1. Jenkins で次を選択します 新規アイテム → Multibranch Pipelineと入力して名前を付け、次を選択します OK.
2. 次の下で ブランチソース、 ソースを追加 → SCM を選択.
3. 次を選択してください リポジトリ.
4. 次の下で 動作、 追加 → プルリクエストを検出 を追加し、次を無効にします ブランチを検出。
5. 次の下で Multibranch Pipeline のスキャン トリガーで次を有効にします webhook トリガー → プルリクエストの作成またはソースブランチの更新 オプション。
6. 次のままにします ビルド設定 を Jenkinsfile によるで、 Script Path = Jenkinsfile.
7. 選択 保存。Jenkins はリポジトリをスキャンし、開いている各プルリクエストのビルドを開始します。

Jenkinsfile に Aikido PR ゲーティングのステージを追加する

次のものを追加（または拡張）します Jenkinsfile をリポジトリのルートに配置します。以下のステージは プルリクエストのビルドでのみ実行されます、Git からベースコミットとヘッドコミットを取得し、PR ゲーティングモードでスキャナーを実行します。ゲート失敗時にスキャナーが非 0 で終了するため、ビルドが失敗します。

pipeline {
    agent any

    environment {
        // https://help.aikido.dev/code-scanning/local-code-scanning/jenkins-setup-for-local-code-scanning#id-1-get-your-authentication-token で設定した認証情報を取得します
        AIKIDO_API_KEY = credentials('aikido-local-scanner-api-key')
        AIKIDO_REPO_NAME = 'my-repo'
    }

    stages {
        stage('Aikido PR Gating') {
            // CHANGE_ID はプルリクエストのビルドでのみ設定されます
            when { expression { env.CHANGE_ID != null } }
            steps {
                script {
                    // 対象（宛先）ブランチがローカルで利用可能であることを確認します
                    sh "git fetch origin ${env.CHANGE_TARGET}"

                    // ヘッド = PR ソースブランチの先端（マージされる内容）
                    def headCommit = sh(
                        script: 'git rev-parse HEAD',
                        returnStdout: true
                    ).trim()

                    // ベース = 宛先ブランチの先端（マージ先）
                    def baseCommit = sh(
                        script: "git rev-parse origin/${env.CHANGE_TARGET}",
                        returnStdout: true
                    ).trim()

                    echo "PR #${env.CHANGE_ID}: ${env.CHANGE_BRANCH} -> ${env.CHANGE_TARGET}"
                    echo "ベースコミット: ${baseCommit}"
                    echo "ヘッドコミット: ${headCommit}"

                    // Docker 版です。新しい問題が
                    // --fail-on 以上で見つかった場合、ビルドが失敗します。
                    sh """
                        docker run --rm \
                          -v "\$(pwd):/scan-target" \
                          aikidosecurity/local-scanner \
                          scan /scan-target \
                          --apikey "\$AIKIDO_API_KEY" \
                          --repositoryname "\$AIKIDO_REPO_NAME" \
                          --branchname "${env.CHANGE_BRANCH}" \
                          --gating-mode pr \
                          --fail-on critical \
                          --base-commit-id ${baseCommit} \
                          --head-commit-id ${headCommit}
                    """
                }
            }
        }
    }
}

スキャナーバイナリがエージェントにインストールされている場合は Docker の代わりに、次の docker run … ブロックを次のように置き換えます：

sh """
    aikido-local-scanner scan ./ \
      --apikey "\$AIKIDO_API_KEY" \
      --repositoryname "\$AIKIDO_REPO_NAME" \
      --branchname "${env.CHANGE_BRANCH}" \
      --gating-mode pr \
      --fail-on critical \
      --base-commit-id ${baseCommit} \
      --head-commit-id ${headCommit}
"""

• --fail-on critical で重大度しきい値を設定します。これを high, medium、または low に変更すると、より厳格にゲートできます。

必要に応じて、SCM でのゲート強制を設定してください。