ローカルイメージスキャナーを使用したコンテナイメージのPRゲート

Aikido Local Scanner は、CI パイプラインでセキュリティゲートを強制するために使用できます。

PR ゲーティングにより、新しいコードがデフォルトブランチにマージされる前に、セキュリティ基準を満たしていることを確認できます。これは、プルリクエストで導入された変更のみをスキャンします。スキャンで、設定した重大度しきい値に達する、またはそれを上回る新しい問題が検出された場合、CI パイプラインは失敗します。

これにより、新たな脆弱性の混入を防ぎつつ、既存の指摘には別途対応できます。

また、次もサポートしています リリースゲーティング リリース時にチェックを強制したいチーム向けです。

PR ゲーティングを有効にするには、次を追加してください --fail-on <severity> オプションで希望する重大度レベルを選択します。次に、次を追加してください --gating-mode pr オプションを追加して、PR ゲーティングを実行することを示します。また、ベース（--base-commit-id <commit-id>）とヘッドコミット（--head-commit-id <commit-id>）。ベースのコミットIDで以前にスキャンが実行されている場合、スキャン結果はそれらと比較されます。そうでない場合、結果はあなたのイメージに対する最新のスキャンと比較されます。

PRゲーティングの例コマンド：

./aikido-local-scanner image-scan your-image-name --apikey AIK_CI_xxx --fail-on critical --gating-mode pr --base-commit-id abc123 --head-commit-id def456 

例

GitHub

GitHub 環境で Local Scanner を設定する一般的な情報については、こちらをご覧ください この記事.

例 .github/workflows/aikido-scan.yml PR のゲーティング用:

name: Aikido Docker のビルドとスキャン

on:
  pull_request:
    branches:
      - main

jobs:
  build-and-scan:
    runs-on: ubuntu-latest
    steps:
      - name: コードをチェックアウト
        uses: actions/checkout@v4

      - name: Docker Buildx をセットアップ
        uses: docker/setup-buildx-action@v3

      - name: Dockerイメージをビルド
        run: docker build -t your-local-image-name .

      - name: Aikido イメージスキャンを実行
        run: |
          docker run --rm \
            -v /var/run/docker.sock:/var/run/docker.sock \
            aikidosecurity/local-scanner \
            image-scan your-local-image-name \
            --apikey ${{ secrets.AIKIDO_API_KEY }} \
            --fail-on critical \
            --gating-mode pr \
            --base-commit-id ${{ github.event.pull_request.base.sha }} \
            --head-commit-id ${{ github.event.pull_request.head.sha }} 

Azure DevOps Server

Azure DevOps 環境で Local Scanner を設定する一般的な情報については、こちらを確認してください この記事.

PR ゲーティングの例：

trigger: none

pr:
  branches:
    include:
      - 'main'

pool:
  vmImage: ubuntu-latest

steps:
- script: docker build -t my-image .
  displayName: 'Docker イメージをビルド'  
- script: | 
    docker run --rm -v /var/run/docker.sock:/var/run/docker.sock aikidosecurity/local-scanner image-scan my-image \
        --apikey $(AIKIDO_API_KEY) \
        --fail-on critical \
        --gating-mode pr \
        --base-commit-id abc123 \
        --head-commit-id def456
  displayName: 'Aikido のスキャンを実行'

このパイプラインを main ブランチに Build Validation として追加してください:

1. Project Settings → Repositories → Policies → Branch Policies に移動します
2. main ブランチを選択します
3. Build Validation を追加
4. このパイプラインを選択
5. 設定：

   • トリガー: 自動