SonarQubeからAikidoへの移行

SonarQubeまたはSonarCloudからAikidoへ移行する方法を学びます。

Aikido は、セキュリティ検出、コード品質チェック、PRゲーティングを1つのワークフローにまとめることで、SonarQube と SonarCloud からの移行を支援します。

このガイドを使って、Sonar のワークフローを Aikido にどう対応付けるかを判断し、開発者を戸惑わせずに切り替えましょう。

移行パスを選ぶ

すべてのリポジトリで同じ移行パスにする必要はありません。まずは、現在チームがどれだけ Sonar に依存しているかに合ったパスから始めましょう。

Path	これを使う場面	行うこと
Aikido に直接移行する	Sonar の設定が、主に Aikido が標準で対応しているワークフローをカバーしている場合。	リポジトリを Aikido に接続し、ゲーティングとカスタムルールを設定したうえで、対応する Sonar のチェックを停止します。
一時的に両方を実行する	開発者のワークフローを変更する前に、検出結果を比較したい場合。	まず Aikido を有効にし、短い検証期間だけ Sonar を CI に残してから、チームが慣れたら重複する Sonar のチェックを削除します。
専用チェックを見直す	ワークフローにとって重要な、Sonar 固有のチェックやメトリクスに依存している場合。	Sonar のワークフローを Aikido に移行したうえで、その専用チェックを共有してください。優先的に代替手段を用意するか、別のワークフローを提案できます。

Sonar の概念を Aikido に対応付ける

この対応表を使って、各 Sonar ワークフローを Aikido のどこに置くべきかを判断します。

Sonar の概念	Aikido の対応項目	注意事項
セキュリティルールと脆弱性	SAST と IaC のスキャン	Aikido はセキュリティ検出に重点を置き、SAST からセキュリティ以外のスタイル系ノイズを除外します。
依存関係の検出	オープンソース依存関係スキャン	Aikido は到達可能性と悪用インテリジェンスも使い、重要なものの優先順位付けを支援します。
シークレット	Live Secret Detection	Aikido は、漏えいしたシークレットが実際に有効かどうかを確認し、リスクに基づいて重大度を調整します。
IaC ルール	SAST と IaC のスキャン	Aikido は Terraform、CloudFormation、Docker、Pulumi、その他の IaC ファイルをスキャンします。
Quality Gate	PRゲーティング と リリースゲーティング	Aikido は、新しい問題と重大度のしきい値に基づいて、プルリクエストやリリースチェックを失敗にできます。
コードカバレッジ	近日公開	Aikido のカバレッジレポートは近日公開予定です。
プルリクエスト装飾	インラインの PR コメントと AutoFix の提案	Aikido はプルリクエストにコメントし、関連するスキャン結果へのリンクを開発者に提供します。
Quality Profile	カスタム SAST ルールと IaC ルール と カスタムコードルール	今でも有用なルールだけを移行してください。Aikido はすでに多くのノイズの少ないチェックを除外しています。
コードスメルと保守性	コード品質	Aikido Code Quality は、PR チェック、リポジトリスキャン、チーム固有の標準をカバーします。
偽陽性、修正しない、受け入れ済み	問題を無視する と 問題を一時保留にする	受け入れ済みのリスクや偽陽性には無視を使います。後で見直したい問題には一時保留を使います。
//NOSONAR 抑制	NOAIKIDO コメント と .aikido ファイル	レビュー可能な判断には UI での無視を優先してください。 NOAIKIDO 例外をリポジトリ内に置くべき場合は、を使ってください。
セキュリティホットスポット	SAST, SAST 自動トリアージ、および 到達可能性分析	これは 1 対 1 の対応表ではありません。Aikido は実行可能なセキュリティ検出に重点を置き、トリアージ信号を使って低リスク結果の手動レビューを減らします。
レポートとダッシュボード	セキュリティ監査レポート と 時系列レポート	Aikido のレポートは、セキュリティレビュー、コンプライアンス証跡、傾向追跡に使用できます。
修正ガイダンス	AutoFix	Aikido は、オープンソース依存関係、SAST、IaC、コンテナ向けの修正を作成できます。

移行チェックリスト

1

リポジトリを接続する

まず、ソースコード管理（SCM）連携を通じて Aikido にスキャンさせたいリポジトリを接続します。通常、各リポジトリに最初からスキャナー設定ファイルを追加する必要はありません。Aikido を SCM に接続すると、push 時、毎日の再スキャン、プルリクエストのアクティビティでスキャンできます。

SCM のセットアップガイドを使用してください:

• GitHub
• GitLab
• Bitbucket
• Azure DevOps

参照： ソースコードを接続する すべてのセットアップオプションについて。

2

Sonar のワークフローに合わせる

現在 Sonar がそのリポジトリで行っていることに対応する Aikido ワークフローを有効にします:

• コードとインフラのセキュリティのための SAST と IaC スキャン
• CVE とライセンスリスクのためのオープンソース依存関係スキャン
• 有効性チェック付きのシークレットスキャン
• 保守性とチーム固有の標準のための Code Quality
• プルリクエストをブロックするための PR ゲーティング

IDE で Sonar を使っている場合は、 Aikido IDE プラグイン を確認して、開発者がコミット前に問題を見つけられるようにしましょう。

3

有用なカスタムルールを移行する

Sonar Quality Profile のルールをすべてそのままコピーしないでください。まず、Aikido がすでにそのリスクやパターンをカバーしているか確認します。Aikido は標準でより広い範囲をカバーしていることが多いため、多くの Sonar ルールにはカスタムの置き換えが不要です。

環境固有のセキュリティ、アーキテクチャ、またはチーム標準の判断を表すルールなど、今も価値を追加するルールだけを移行してください。

使用します カスタム SAST および IaC ルール はセキュリティパターンとインフラチェックに使用します。 カスタムコードルール はチーム固有のコード品質要件に使用します。

4

受け入れ済みリスクの判断を移行する

False Positive、Won't Fix、Accepted とマークされた Sonar の問題を見直します。今も同意できる判断は Aikido で再作成してください。

使用します 問題を無視する は UI ベースの判断に使用します。 .aikido ファイル または NOAIKIDO コメント 例外をリポジトリに残すべき場合は、を使用します。

5

PR とリリースのゲーティングを設定する

Sonar の Quality Gate チェックを、Aikido の PR ゲーティングまたはリリースゲーティングに置き換えて、新しいセキュリティ問題とコード品質問題を判定します。

Aikido では、重大度のしきい値を設定し、どのスキャンタイプでチェックを失敗させるかを選べます。また、マージをブロックする前に可視化だけしたい場合は、常にグリーンの設定から始めることもできます。 PRゲーティングの概要 と Aikido CLI: リリースゲーティング.

6

CI とブランチ保護を更新する

Aikido をリポジトリ用に設定したら、CI から対応する Sonar のスキャナージョブを削除し、代わりに Aikido チェックを必須にするようブランチ保護ルールを更新します。

リポジトリが Aikido の設定外にある専用チェックに依存している場合は、それを共有してください。優先的に代替手段を用意するか、別のワークフローを提案できます。

7

レポートと責任範囲を見直す

セキュリティ、エンジニアリング、コンプライアンスの各チームが、Aikido で新しいビューをどこで確認できるか把握していることを確認してください。

日々のトリアージにはメインフィードを、開発者のワークフローには PR スキャン結果を、監査や傾向レビューにはレポートを使います。Jira、Linear、Slack、Microsoft Teams に検出結果を流している場合は、古い Sonar 通知を削除する前にそれらのワークフローを接続してください。

切り替えチェックリスト

リポジトリから Sonar を削除する前に、以下を確認してください:

• Aikido がそのリポジトリと正しいブランチをスキャンしている。
• PR ゲーティングが、チームが望む重大度のしきい値で設定されている。
• 必須のブランチ保護チェックが Aikido を参照している。
• 重要なカスタムルールが再作成されているか、意図的に削除されている。
• 受け入れ済みリスクの判断が Aikido で確認されている。
• チームが今も必要としている場合は、専用 CI チェックが引き続き維持されている。
• 開発者が検出結果の確認方法、無視のリクエスト方法、AutoFix の使い方を知っている。

お困りですか？

Sonar からの移行は、セキュリティ、エンジニアリング、コンプライアンスのワークフローに影響することがあります。Sonar のルール、ゲート、レポートを Aikido にどう対応付ければよいかわからない場合は、 Intercomチャット を開いてください。私たちのチームがサポートします。