GitHub Advanced Security for Azure DevOps を構成する

[アーティクル]
10/24/2024

GitHub Advanced Security for Azure DevOps により、GitHub Advanced Security の一連のセキュリティ機能が Azure Repos に追加されます。

GitHub Advanced Security for Azure DevOps には以下が含まれています。

シークレットスキャンプッシュ保護: コードプッシュに資格情報などのシークレットを公開するコミットが含まれているかどうかを検査する
シークレットスキャンリポジトリのスキャン: リポジトリをスキャンし、誤ってコミットされた公開済みのシークレットを探す
依存関係のスキャン – オープンソース依存関係の既知の脆弱性を検索する (直接および推移的)
コードスキャン – CodeQL 静的分析エンジンを使用して、SQL インジェクションや認証バイパスなどのコードレベルのアプリケーションの脆弱性を特定する

現時点では、GitHub Advanced Security for Azure DevOps は Azure DevOps サービスでのみ使用でき、この製品を Azure DevOps Server に導入する予定はありません。 GitHub Advanced Security for Azure DevOps はコード Git リポジトリでのみ使用できます。

GitHub Advanced Security for Azure DevOps は、Azure Repos と連携して動作します。 GitHub リポジトリで GitHub Advanced Security を使用する場合は、「GitHub Advanced Security」を参照してください。

前提条件

プロジェクトコレクション管理者グループのメンバーとして割り当てられたアクセス許可が必要です。プロジェクトコレクション管理者グループにメンバーを追加するか、プロジェクトコレクションレベルのアクセス許可を変更するには、プロジェクトコレクションレベルのアクセス許可の変更に関するページを参照してください。

セルフホステッドエージェントの追加の前提条件

組織でセルフホステッドエージェントを使用している場合は、さらに多くの要件があります。

これらの URL を許可リストに追加して、依存関係スキャンタスクで脆弱性アドバイザリデータをフェッチできるようにします。詳細については、「許可される IP アドレスとドメイン URL」を参照してください。

ドメイン URL	説明
`https://governance.dev.azure.com`	dev.azure.com ドメインを使用して DevOps インスタンスにアクセスする組織向け
`https://dev.azure.com`	dev.azure.com ドメインを使用して DevOps インスタンスにアクセスする組織向け
`https://advsec.dev.azure.com`	dev.azure.com ドメインを使用して DevOps インスタンスにアクセスする組織向け
`https://{organization_name}.governance.visualstudio.com`	{organization_name}.visualstudio.com ドメインを使用して DevOps インスタンスにアクセスする組織向け
`https://{organization_name}.visualstudio.com`	{organization_name}.visualstudio.com ドメインを使用して DevOps インスタンスにアクセスする組織向け
`https://{organization_name}.advsec.visualstudio.com`	{organization_name}.visualstudio.com ドメインを使用して DevOps インスタンスにアクセスする組織向け

互換性のあるバージョンの .NET ランタイム (現在は .NET 8.x) を実行します。互換性のあるバージョンがエージェントに存在しない場合、依存関係スキャンビルドタスクによって .NET がダウンロードされます。
CodeQL バンドルがエージェントのエージェントツールキャッシュにインストールされていることを確認します。 enableAutomaticCodeQLInstall: true変数を YAML パイプラインの Advanced-Security-CodeQL@1 パイプラインタスクと併用することも、クラシックパイプラインの Enable automatic CodeQL detection and installation チェックボックスをオンにすることもできます。手動インストール手順については、「GitHub Advanced Security for Azure DevOps のコードスキャン」を参照してください。

GitHub Advanced Security を有効にする

組織、プロジェクト、またはリポジトリのレベルで Advanced Security を有効にすることができます。各スキャンツールと結果にアクセスするには、まず Advanced Security を有効にする必要があります。 Advanced Security を有効にすると、このポリシーが有効になっているリポジトリへのシークレットを含む今後のプッシュはブロックされ、リポジトリシークレットのスキャンはバックグラウンドで実行されます。

リポジトリレベルのオンボード

Azure DevOps プロジェクトの [プロジェクト設定] に移動します。
[Repos]>[リポジトリ] を選択します。
Advanced Security を有効にするリポジトリを選択します。
[有効] を選択し、課金を開始して Advanced Security をアクティブにします。 Advanced Security が有効になっているリポジトリのリポジトリビューにシールドアイコンが表示されるようになりました。

プロジェクトレベルのオンボード

Azure DevOps プロジェクトの [プロジェクト設定] に移動します。
[リポジトリ] を選びます。
[Settings](設定) タブを選択します。
[すべて有効にする] を選択すると、プロジェクトのアクティブなコミッターの数の見積もりが表示されます。
[課金の開始] を選択して、プロジェクト内のすべての既存のリポジトリに対して Advanced Security をアクティブにします。
必要に応じて、[新しいリポジトリに対して Advanced Security を自動的に有効にする] を選択して、新しく作成されたリポジトリの作成時に Advanced Security を有効にします。

組織レベルのオンボード

Azure DevOps 組織の [組織の設定] に移動します。
[リポジトリ] を選択します。
[すべて有効にする] を選択すると、組織のアクティブなコミッターの数の見積もりが表示されます。
[課金の開始] を選択して、組織の各プロジェクトで、すべての既存のリポジトリに対して Advanced Security をアクティブにします。
必要に応じて、[新しいリポジトリに対して Advanced Security を自動的に有効にする] を選択して、新しく作成されたプロジェクトの作成時に Advanced Security を有効にします。

シークレットスキャンを設定する

Advanced Security を有効にすると、シークレットスキャンのプッシュ保護とリポジトリスキャンが自動的に有効になります。リポジトリ設定ページからシークレットプッシュ保護を有効または無効にすることができます。

前述のように、シークレットスキャンとリポジトリスキャンは、選択したリポジトリに対して Advanced Security を有効にすると自動的に開始されます。

依存関係スキャンを設定する

依存関係スキャンは、パイプラインベースのスキャンツールです。結果はリポジトリごとに集計されます。スキャンするすべてのパイプラインに依存関係スキャンタスクを追加することをお勧めします。

ヒント

最も正確なスキャン結果を得るには、スキャンするコードをビルドするパイプラインのビルドおよび/または復元手順に従って、依存関係スキャンタスクを追加してください。

YAML
クラシック

タスク Advanced Security の依存関係スキャン (AdvancedSecurity-Dependency-Scanning@1) を YAML パイプラインファイルに直接追加するか、タスクアシスタントから Advanced Security の依存関係スキャン タスクを選択します。

コードスキャンを設定する

コードスキャンは、結果がリポジトリごとに集約されるパイプラインベースのスキャンツールでもあります。

ヒント

コードスキャンタスクをメインの運用パイプラインの別のクローンパイプラインに追加するか、新しいパイプラインを作成することをお勧めします。これは、コードスキャンがより時間のかかるビルドタスクになる可能性があるためです。

YAML
クラシック

タスクを次の順序で追加します。

Advanced Security Initialize CodeQL (AdvancedSecurity-Codeql-Init@1)
カスタムビルドステップ
Advanced Security Perform CodeQL Analysis (AdvancedSecurity-Codeql-Analyze@1)

さらに、CodeQL の初期化タスクで分析する言語を指定する必要があります。コンマ区切りリストを使用すると、複数の言語を一度に分析できます。サポートされる言語は、csharp, cpp, go, java, javascript, python, ruby, swift です。セルフホステッドエージェントを使用している場合は、enableAutomaticCodeQLInstall: true 変数を追加して、エージェント用に最新の CodeQL ビットを自動的にインストールすることもできます。

スタートパイプラインの例を次に示します。

trigger:
  - main

pool:
  # Additional hosted image options are available: https://learn.microsoft.com/en-us/azure/devops/pipelines/agents/hosted#software
  vmImage: ubuntu-latest

steps:

  - task: AdvancedSecurity-Codeql-Init@1
    inputs:
      languages: "java"
      # Supported languages: csharp, cpp, go, java, javascript, python, ruby, swift
      # You can customize the initialize task: https://learn.microsoft.com/en-us/azure/devops/pipelines/tasks/reference/advanced-security-codeql-init-v1?view=azure-pipelines
      # If you're using a self-hosted agent to run CodeQL, use `enableAutomaticCodeQLInstall` to automatically use the latest CodeQL bits on your agent:
      enableAutomaticCodeQLInstall: true

#   Add your custom build steps here
# - Ensure that all code to be scanned is compiled (often using a `clean` command to ensure you're building from a clean state).
# - Disable the use of any build caching mechanisms as this can interfere with CodeQL's ability to capture all the necessary data during the build.
# - Disable the use of any distributed/multithreaded/incremental builds as CodeQL needs to monitor executions of the compiler to construct an accurate representation of the application.
# - For dependency scanning, ensure you have a package restore step for more accurate results.

# If you had a Maven app:
#   - task: Maven@4
#     inputs:
#       mavenPomFile: 'pom.xml'
#       goals: 'clean package'
#       publishJUnitResults: true
#       testResultsFiles: '**/TEST-*.xml'
#       javaHomeOption: 'JDKVersion'
#       jdkVersionOption: '1.17'
#       mavenVersionOption: 'Default'

# Or a general script:
#   - script: |
#       echo "Run, Build Application using script"
#       ./location_of_script_within_repo/buildscript.sh

  - task: AdvancedSecurity-Dependency-Scanning@1 # More details on this task: https://learn.microsoft.com/en-us/azure/devops/pipelines/tasks/reference/advanced-security-dependency-scanning-v1?view=azure-pipelines

  - task: AdvancedSecurity-Codeql-Analyze@1 # More details on this task: https://learn.microsoft.com/en-us/azure/devops/pipelines/tasks/reference/advanced-security-codeql-analyze-v1?view=azure-pipelines

ヒント

Kotlin/Swift の CodeQL 分析は現在ベータ版です。ベータ版の間、これらの言語の分析は他の言語の CodeQL 分析ほど包括的ではありません。 Java、Kotlin、またはその両方で記述されたコードを分析するには java を使用します。 JavaScript、TypeScript、またはその両方で記述されたコードを分析するには、javascript を使用します。

指定された言語が cpp, java, csharp または swift の場合はカスタムビルドステップが必要です。

タスクを次の順序で追加します。

Advanced Security Initialize CodeQL
独自のカスタムビルドステップを追加する
Advanced Security Perform CodeQL Analysis

さらに、CodeQL の初期化タスクで分析する言語を指定する必要があります。指定された言語が cpp, java, csharp または swift, の場合はカスタムビルドステップが必要です。

セルフホステッドエージェントで実行している場合は、エージェントツールキャッシュに最新の CodeQL バンドルを手動でインストールしなかった場合に、エージェントで最新の CodeQL ビットを自動的に使用する Enable automatic CodeQL detection and installation を選択します。

アラートを生成するには、コードスキャンタスクを含むパイプラインで最初のスキャンを実行します。

プル要求注釈を設定する

依存関係スキャンとコードスキャンの両方の場合、ビルド検証ポリシーが適用されるプル要求に対して注釈が自動的に構成され、依存関係スキャンやコードスキャンタスクがパイプラインに含まれます。ビルド検証ポリシーの構成の詳細については、「ビルド検証」を参照してください。

プル要求ブランチのアラートの解決の詳細については、「プル要求の依存関係スキャンアラートの管理」および「プル要求のコードスキャンアラートの管理」を参照してください。

何らかの理由で [高度なセキュリティ] を無効にする必要がある場合、アラートとアラートの状態は、次回リポジトリで [高度なセキュリティ] を再度有効にするときまで [高度なセキュリティ] タブで保持されます。

次の方法で共有

GitHub Advanced Security for Azure DevOps を構成する