Snyk と Bitbucket Cloud を統合して DevSecOps を実現する方法

ステップ 1: 環境を構成する

Snyk CLI をインストールする

Snyk CLI は、Snyk アカウントを使用してマシンを認証します。CLI ツールは、依存関係にある既知の脆弱性を手動で、および CI/CD パイプラインで検出して修正するのに役立ちます。CLI をインストールするための完全な手順は、一般的なオペレーティング システムと環境向けに複数の形式で Snyk でご利用いただけます。たとえば、CLI は brew と次のコマンドと共に利用できます。

その他のラボ リソース

このチュートリアルの演習には、指定されたモジュール ページ内で共有されるコマンドまたはコード スニペットの組み合わせと、パブリック Bitbucket リポジトリで利用可能なテンプレートとソース コードが含まれます。Bitbucket Cloud アカウントを設定したら、これらのリソースをアカウントにコピーする必要があります。これを行うには、次のステップに従ってください。

リポジトリをフォークする

こちらをクリックして、アップストリーム リポジトリを Bitbucket アカウントにフォークします。アトラシアンのドキュメントには、リポジトリをフォークする方法の詳細な手順が記載されています。

フォークをローカルにクローンする

フォークが完了したら、フォークしたリポジトリをクローンする必要があります。詳細な手順については、リポジトリをクローンする方法に関するアトラシアンのドキュメントをご参照ください。

ステップ 2: Snyk を Bitbucket に接続する

このセクションでは、Snyk を Bitbucket に接続して、オープン ソースの脆弱性について Bitbucket アプリケーションをスキャンします。

ソフトウェア構成解析 (SCA) とは

ソフトウェア構成解析 (SCA) は、オープン ソースのコンポーネント管理ツールです。このツールは、アプリケーション内のすべてのオープン ソース コンポーネント (直接的/間接的な依存関係を含む) をリストするレポートを生成します。SCA ツールを使用すると、開発チームはプロジェクトに導入されたオープン ソース コンポーネントをすばやく追跡して分析できます。

オープン ソース コンポーネントは便利で広く利用されていますが、従来は追跡が困難でした。その結果、開発者はメールやスプレッドシートなどの手動プロセスを使用して、状況を緩和していました。しかし、これらの手動プロセスは、オープン ソースが提供する利便性を打ち消し、不完全なソリューションを提供するおそれがあります。より適切なアプローチは、各コンポーネントを即座に把握できる SCA ツールを活用することです。

SCA ツールを使用する理由

オープン ソース コンポーネントは、実質的にあらゆる分野にわたるソフトウェア開発における主要な構成要素です。組織の規模にかかわらず、SCA は、ビジネスにとって重要なアプリケーション内のオープン ソース コンポーネントを特定する際に役立ちます。SCA ツールによって、開発者は次のことを行えます。

1. アプリケーションで使用される依存関係を理解する。

2. ソフトウェア開発ライフサイクル (SDLC) 全体を通して、セキュリティ ポリシーとコンプライアンス ポリシーを適用する。

3. ソースで潜在的な脆弱性をプロアクティブに修正する。

4. チームの効率性と会社のセキュリティ体制を改善する。

ステップ 3: アプリ パスワードを作成する

Snyk にリポジトリへのアクセスを許可して Snyk の Bitbucket Cloud 統合を有効にするには、アプリ パスワードを作成する必要があります。

アプリ パスワードを作成するには、次の手順に従います。

ステップ 4: リポジトリ変数を追加する

リポジトリ変数はリポジトリ レベルで定義する必要があり、後でパイプラインで参照されます。 これらの構成は次のとおりです。

• SNYK_TOKEN - Snyk アカウントを認証するための Snyk API トークン。これは保護された変数です。
• IMAGE - コンテナー イメージ名。これは保護された変数ではありません。

その他の変数は、強化されたパイプライン操作向けであり、このチュートリアルでは説明していません。

ステップ 5: Snyk API トークンを取得する

1. Snyk API トークンを取得する

Snyk コンソールから [設定] (画像の歯車アイコン) に移動して、[一般] メニューで [組織 ID] をコピーします。

ステップ 6: Bitbucket 統合を有効にする

Snyk コンソールから [統合] に移動して [Bitbucket Cloud] を選択します。

ステップ 7: Bitbucket Cloud リポジトリを Snyk に追加する

前のセクションの最後の画面で [Add your Bitbucket Cloud repository to Snyk (Bitbucket Cloud リポジトリを Snyk に追加)] をクリックします。

ステップ 8: 脆弱性レポートを確認する

packages.json に基づく脆弱性の数と、それぞれの詳細情報を確認する必要があります。スキャンしたばかりのプロジェクトをクリックして、Snyk で結果を確認します。脆弱性の重大度やエクスプロイトの成熟度などに関するコンテキストだけでなく、次の強力な機能も取得できます。