> For the complete documentation index, see [llms.txt](https://help.aikido.dev/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://help.aikido.dev/docs/docs-ja/wkufurtogaido/migrating-from-sonarqube-to-aikido.md). # SonarQube から Aikido への移行 Aikidoは、セキュリティ検出、コード品質チェック、PRゲーティングを1つのワークフローにまとめることで、SonarQubeとSonarCloudからの移行を支援します。 このガイドを使って、SonarのワークフローをAikidoにどうマッピングするかを判断し、開発者に不意打ちを与えずに切り替えましょう。 ## 移行パスを選ぶ すべてのリポジトリに同じ移行パスは必要ありません。まずは、現在のチームがSonarにどれだけ依存しているかに合ったパスから始めてください。 | Path | こんな場合に使用 | 対応内容 | | ------------- | -------------------------------------------- | --------------------------------------------------------------------------- | | Aikidoへ直接移行する | Sonarの設定は、主にAikidoが標準で対応しているワークフローをカバーしています。 | リポジトリをAikidoに接続し、ゲーティングとカスタムルールを設定したうえで、対応するSonarチェックを廃止します。 | | 一時的に両方を実行する | 開発者のワークフローを変更する前に、検出結果を比較したい場合。 | まずAikidoを有効にし、短い検証期間はCIでSonarを残しておき、チームが慣れたら重複するSonarチェックを削除します。 | | 専用チェックを確認する | ワークフロー上重要な、Sonar固有のチェックやメトリクスに依存している場合。 | SonarのワークフローをAikidoに移し、その専用チェックを私たちに共有してください。優先的に代替案を用意するか、別のワークフローを提案できます。 | ## Sonarの概念をAikidoに対応付ける このマップを使って、各SonarワークフローをAikidoのどこに置くべきかを判断してください。 | Sonarの概念 | Aikidoでの対応項目 | 注記 | | ---------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ----------------------------------------------------------------------------- | | セキュリティルールと脆弱性 | [SASTとIaCのスキャン](/docs/docs-ja/kdosukyan/scanning-practices/sast-by-aikido-supported-languages-and-security-focus.md) | Aikidoはセキュリティ検出に重点を置き、SASTから非セキュリティ系のスタイルノイズを取り除きます。 | | 依存関係の検出 | [オープンソース依存関係のスキャン](/docs/docs-ja/kdosukyan/scanning-practices/support-for-dependency-scanning-by-language.md) | Aikidoは到達可能性と悪用インテリジェンスも使って、重要なものの優先順位付けを支援します。 | | シークレット | [Live Secret Detection](/docs/docs-ja/kdosukyan/scanning-practices/live-secret-detection.md) | Aikidoは漏えいしたシークレットが実際に有効かどうかを確認し、リスクに応じて重大度を調整します。 | | IaCルール | [SASTとIaCのスキャン](/docs/docs-ja/kdosukyan/scanning-practices/sast-by-aikido-supported-languages-and-security-focus.md) | AikidoはTerraform、CloudFormation、Docker、Pulumi、その他のIaCファイルをスキャンします。 | | 品質ゲート | [PRゲーティング](/docs/docs-ja/pr-torirsunogtingu/aikido-ci-gating-functionality.md) に設定し、 [リリースゲーティング](/docs/docs-ja/pr-torirsunogtingu/cli-for-pr-and-release-gating/aikido-cli-release-and-pr-gating.md) | Aikidoは、新しい問題と重大度のしきい値に基づいて、プルリクエストやリリースチェックを失敗にできます。 | | コードカバレッジ | 近日公開 | Aikidoのカバレッジレポートは近日公開予定です。 | | プルリクエスト装飾 | [PR内コメントとAutoFixの提案](/docs/docs-ja/pr-torirsunogtingu/aikido-ci-gating-functionality/autofix-suggestions-and-inline-commenting-for-pr-checks.md) | Aikidoはプルリクエストにコメントを付け、関連するスキャン結果へ開発者を案内します。 | | 品質プロファイル | [カスタムSASTおよびIaCルール](/docs/docs-ja/kdosukyan/scanning-practices/add-custom-sast-iac-rules.md) に設定し、 [カスタムコードルール](/docs/docs-ja/kdo/add-custom-code-rules.md) | まだ有用なルールだけを移行してください。Aikidoはすでに多くの低シグナルなチェックを除外しています。 | | コードスメルと保守性 | [コード品質](/docs/docs-ja/kdo/code-quality-overview.md) | Aikido Code Qualityは、PRチェック、リポジトリスキャン、チーム固有のカスタム基準をカバーします。 | | 誤検知、修正しない、受け入れ済み | [問題を無視する](/docs/docs-ja/hajimeni/core-functionalities/ignore-issues-to-remove-issues-from-main-feed.md) に設定し、 [問題をスヌーズする](/docs/docs-ja/hajimeni/core-functionalities/snooze-issues-for-later.md) | 受容済みリスクや誤検知には ignore を使います。後で見直したい問題には snooze を使います。 | | `//NOSONAR` 抑制 | [`NOAIKIDO` コメント](/docs/docs-ja/kdosukyan/scanning-practices/excluding-sast-findings-using-comments.md) に設定し、 [`.aikido` ファイル](/docs/docs-ja/kdosukyan/scanning-practices/ignore-via-code-with-aikido-files.md) | レビュー可能な判断にはUIでの無視を優先してください。Use `NOAIKIDO` 例外をリポジトリ内に置くべき場合に使用します。 | | セキュリティ・ホットスポット | [SAST](/docs/docs-ja/kdosukyan/scanning-practices/sast-by-aikido-supported-languages-and-security-focus.md), [SAST AutoTriage](/docs/docs-ja/aikido-agent/sast-autotriage.md)、 [到達可能性分析](/docs/docs-ja/hajimeni/reachability-analysis/introduction-to-reachability-analysis.md) | これは1対1の対応ではありません。Aikidoは実行可能なセキュリティ検出に重点を置き、トリアージ信号を使ってリスクの低い結果の手動レビューを減らします。 | | レポートとダッシュボード | [セキュリティ監査レポート](/docs/docs-ja/konpuraiansutorepto/reports/security-audit-report.md) に設定し、 [時系列レポート](/docs/docs-ja/konpuraiansutorepto/reports/trends-over-time-report.md) | Aikidoのレポートは、セキュリティレビュー、コンプライアンス証跡、傾向追跡に利用できます。 | | 修復ガイダンス | [AutoFix](/docs/docs-ja/autofix-to/overview-aikido-autofix.md) | Aikidoは、オープンソース依存関係、SAST、IaC、コンテナ向けの修正を作成できます。 | ## 移行チェックリスト {% stepper %} {% step %} ### リポジトリを接続する まず、ソースコード管理（SCM）連携を通じて、Aikidoにスキャンさせたいリポジトリを接続します。通常、最初に各リポジトリへスキャナー設定ファイルを追加する必要はありません。AikidoをSCMに接続すると、push時、毎日の再スキャン、プルリクエストのアクティビティに応じてスキャンできます。 SCMごとのセットアップガイドを使用してください： * [GitHub](/docs/docs-ja/kdosukyan/connect-your-source-code/connect-github-account-to-aikido.md) * [GitLab](/docs/docs-ja/kdosukyan/connect-your-source-code/connect-gitlab-account-to-aikido.md) * [Bitbucket](/docs/docs-ja/kdosukyan/connect-your-source-code/connect-bitbucket-account-to-aikido.md) * [Azure DevOps](/docs/docs-ja/kdosukyan/connect-your-source-code/connect-azure-devops-projects-to-aikido.md) 参照: [ソースコードを接続する](/docs/docs-ja/kdosukyan/connect-your-source-code.md) すべてのセットアップオプションについて。 {% endstep %} {% step %} ### Sonarのワークフローに合わせる 現在そのリポジトリでSonarが行っている内容に一致するAikidoのワークフローを有効にします： * コードとインフラのセキュリティ向けSASTとIaCのスキャン * CVEとライセンスリスク向けのオープンソース依存関係スキャン * 有効性チェック付きのシークレットスキャン * 保守性とチーム固有基準のためのCode Quality * プルリクエストをブロックするためのPRゲーティング IDEでSonarを使っている場合は、 [Aikido IDE Plugins](/docs/docs-ja/ai-totsru/ide-plugins-overview.md) を確認し、開発者がコミット前に問題を見つけられるようにしてください。 {% endstep %} {% step %} ### 有用なカスタムルールを移行する SonarのQuality Profileの全ルールをそのままコピーしないでください。まず、Aikidoがそのリスクやパターンをすでにカバーしているか確認します。Aikidoは標準でより広くカバーしていることが多いため、多くのSonarルールはカスタムの置き換えが不要です。 環境固有のセキュリティ、アーキテクチャ、またはチーム標準の判断を表すルールなど、引き続き価値のあるルールだけを移行してください。 次を使用します [カスタムSASTおよびIaCルール](/docs/docs-ja/kdosukyan/scanning-practices/add-custom-sast-iac-rules.md) セキュリティパターンとインフラチェック向けに。Use [カスタムコードルール](/docs/docs-ja/kdo/add-custom-code-rules.md) チーム固有のコード品質要件向けに。 {% endstep %} {% step %} ### 受容済みリスクの判断を移行する False Positive、Won't Fix、Accepted とマークされたSonarの問題を確認してください。なおも同意できる判断はAikidoで再現します。 次を使用します [問題を無視する](/docs/docs-ja/hajimeni/core-functionalities/ignore-issues-to-remove-issues-from-main-feed.md) UIベースの判断には。Use [`.aikido` ファイル](/docs/docs-ja/kdosukyan/scanning-practices/ignore-via-code-with-aikido-files.md) または [`NOAIKIDO` コメント](/docs/docs-ja/kdosukyan/scanning-practices/excluding-sast-findings-using-comments.md) 例外をリポジトリ内に置くべき場合に使用します。 {% endstep %} {% step %} ### PRとリリースのゲーティングを設定する SonarのQuality Gateチェックを、AikidoのPRゲーティングまたはリリースゲーティングに置き換え、新しいセキュリティ問題とコード品質問題に対応します。 Aikidoでは、重大度のしきい値を設定し、どのスキャン種別でチェックを失敗にするかを選べます。また、マージをブロックする前に可視性を確保したい場合は、常にグリーンの構成から始めることもできます。参照： [PR ゲーティングの概要](/docs/docs-ja/pr-torirsunogtingu/aikido-ci-gating-functionality.md) に設定し、 [Aikido CLI: リリースゲーティング](/docs/docs-ja/pr-torirsunogtingu/cli-for-pr-and-release-gating/aikido-cli-release-and-pr-gating.md). {% endstep %} {% step %} ### CIとブランチ保護を更新する リポジトリ向けにAikidoを設定したら、CIから対応するSonarのスキャナージョブを削除し、代わりにAikidoチェックを必須にするようブランチ保護ルールを更新します。 もしリポジトリがAikido設定外の専用チェックに依存しているなら、優先的に代替を用意するか、別のワークフローを提案できるよう、私たちに共有してください。 {% endstep %} {% step %} ### レポートと担当範囲を確認する セキュリティ、エンジニアリング、コンプライアンスの各チームが、Aikidoで新しい表示先を把握していることを確認してください。 日常のトリアージにはメインフィードを、開発者のワークフローにはPRスキャン結果を、監査や傾向確認にはレポートを使います。Jira、Linear、Slack、Microsoft Teamsに検出結果を流している場合は、古いSonar通知を削除する前に、それらのワークフローを接続してください。 {% endstep %} {% endstepper %} ## 切り替えチェックリスト リポジトリからSonarを削除する前に、次を確認してください： * Aikidoがそのリポジトリと適切なブランチをスキャンしている。 * PRゲーティングが、チームの望む重大度しきい値で設定されている。 * 必須のブランチ保護チェックがAikidoを指している。 * 重要なカスタムルールが再作成されているか、意図して削除されている。 * 受容済みリスクの判断がAikidoで確認されている。 * チームがまだ必要とする場合、専用CIチェックが残っている。 * 開発者が検出結果の確認方法、無視の依頼方法、AutoFixの使い方を理解している。 ## ヘルプが必要ですか？ Sonarからの移行は、セキュリティ、エンジニアリング、コンプライアンスのワークフローに影響することがあります。Sonarのルール、ゲート、レポートをAikidoにどう対応付けるか分からない場合は、次を開いてください **Intercom チャット** 右下隅にあるものを開いてください。私たちのチームがお手伝いします。 --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://help.aikido.dev/docs/docs-ja/wkufurtogaido/migrating-from-sonarqube-to-aikido.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.