Local Image Scanner を使用したコンテナイメージのリリースゲーティング

Aikido Local Scanner は、プルリクエストやリリースを含む CI パイプラインのさまざまな段階でセキュリティゲートを強制できます。

リリースゲーティングは、コンテナイメージなどのビルド成果物全体を、公開またはデプロイされる前にスキャンします。〜とは異なり PR ゲーティング、プルリクエストで導入された変更のみをスキャンするのではなく、リリースゲートはビルド全体を評価します。スキャンで、設定した重大度しきい値に達する、またはそれを超える問題が見つかった場合、CI パイプラインは失敗し、リリースはブロックされます。

これにより、最終成果物が本番環境に到達する前にセキュリティ基準を満たしていることが保証されます。

次を使用することでリリースゲーティングモードを有効にできます。 --fail-on <severity> フラグ。この機能は、イメージをイメージライブラリに公開する前にスキャンする場合に役立ちます。リリース前に未解決の問題がないことを保証するためです。リリースゲーティングモードで実行すると、スキャン完了後に選択した重大度以上の未解決の問題がある場合、スキャナー処理は失敗します。

リリースゲーティングのコマンド例:

./aikido-local-scanner image-scan your-image-name --apikey AIK_CI_xxx --fail-on critical

例

GitHub

GitHub 環境で Local Scanner を設定する一般的な情報については、こちらをご覧ください この記事。例 .github/workflows/aikido-scan.yml リリースゲート用：

name: Aikido Docker のビルドとスキャン

on:
  push:
    branches:
      - main

jobs:
  build-and-scan:
    runs-on: ubuntu-latest
    steps:
      - name: コードをチェックアウト
        uses: actions/checkout@v4

      - name: Docker Buildx をセットアップ
        uses: docker/setup-buildx-action@v3

      - name: Dockerイメージをビルド
        run: docker build -t your-local-image-name .

      - name: Aikido イメージスキャンを実行
        run: |
          docker run --rm \
            -v /var/run/docker.sock:/var/run/docker.sock \
            aikidosecurity/local-scanner \
            image-scan your-local-image-name \
            --apikey ${{ secrets.AIKIDO_API_KEY }} \
            --fail-on critical

Azure DevOps Server

Azure DevOps 環境で Local Scanner を設定する一般的な情報については、こちらを確認してください この記事。リリースゲーティングの例:

trigger:
- main

pool:
  vmImage: ubuntu-latest

steps:
- script: docker build -t my-image .
  displayName: 'Docker イメージをビルド'  
- script: |
    docker run --rm -v /var/run/docker.sock:/var/run/docker.sock aikidosecurity/local-scanner image-scan my-image \
    --apikey $(AIKIDO_API_KEY) \
    --fail-on critical
  displayName: 'Aikido のスキャンを実行'