Checkmarx を DevOps 変更速度管理にオンボーディング - ワークスペース

DevOps 変更ワークスペースプレイブックを使用して、Checkmarx インスタンスに接続します。

始める前に

DevOps チェンジベロシティの開始トピックで指定されたタスクを完了します。

必要なロール:sn_devops.admin または sn_devops.tool_owner

このタスクについて

Checkmarx には、Checkmarx SAST と Checkmarx One の 2 種類のツールがあります。

手順

1. 次のように移動する。 ワークスペース > DevOps 変更ワークスペース をクリックし、次のいずれかのオプションを使用してプレイブックを開き、Checkmarx をオンボーディングします。

   オプション	ステップ
   ホームページ	[接続ツール] ウィジェットを選択します [ツールに接続] モーダルで、[セキュリティ] カテゴリから [Checkmarx One] または [Checkmarx SAST] を選択します。
   アプリケーションモジュール	[アプリケーション] 既存のアプリケーションを選択するか、新しいアプリケーションを作成します。アプリケーションを作成するには、「 アプリケーションの作成 - クラシック」を参照してください。 [推奨アクション] ペインで、[ ツールを接続 ] カードを選択します。 [ツールに接続] モーダルで、[セキュリティ] カテゴリから [Checkmarx One] または [Checkmarx SAST] を選択します。
   ツールモジュール	[ツール] ( [機能] リストから [セキュリティ] を選択します。 [ツールを接続] を選択します。 [ツールに接続] モーダルで、[Checkmarx One] または [Checkmarx SAST] を選択します。

2. ツールを識別する名前を入力し、[ 次へ] を選択します。
3. [インスタンスの詳細] プレイブックアクティビティセクションで、Checkmarx One と Checkmarx SAST のどちらに接続しているかに基づいて、次の認証情報を入力します。

   ツール	ステップ
   Checkmarx SAST	[Server URL] フィールドに、Checkmarx SAST インスタンスのサーバー URL を入力します。 [API ID] フィールドに、Checkmarx SAST インスタンスの API ID を入力します。 [API キー] フィールドに、Checkmarx SAST インスタンスの API キーを入力します。
   Checkmarx One(チェックマルクス・ワン)	[CheckmarxOne アクセス制御ベース URL] フィールドに、Checkmarx One インスタンスの Checkmarx One アクセス制御ベース URL を入力します。 [CheckmarxOne API ベース URL] フィールドに、Checkmarx One インスタンスの API ベース URL を入力します。 [テナント] フィールドに、Checkmarx SAST インスタンスのテナントの名前を入力します。 [クライアント ID] フィールドに、Checkmarx SAST インスタンスのクライアント ID を入力します。 [クライアントシークレット] フィールドに、Checkmarx SAST インスタンスのクライアントシークレットを入力します。

   Checkmarx SAST ユーザーに、プロジェクト結果とスキャン結果を読み取ってサマリーの詳細を取得する権限を持つロールがあることを確認します。詳細については、 Checkmarx のドキュメントを参照してください。Checkmarx One ユーザーに、スキャンサマリーの詳細にアクセスするための create-scan ロールと manage-project ロールがあることを確認してください。詳細については、 Checkmarx のドキュメントを参照してください。

4. [ 接続 ] を選択し、正常に接続された Checkmarx インスタンスの詳細を確認します。
5. ツールのアクセス権を指定します。
   1. ツールへのアクセスを制御する場合は、ツールへのアクセス権を付与する必要があるグループを [ 管理担当者 ] フィールドに追加します。
      グループ内のこれらのユーザーが実行できるタスクは、アサインされたロールによって異なります。

      • DevOps ツールオーナーロール:ツールを表示および編集できます。
      • DevOps アプリオーナーロール:ツールを表示し、ツールのオブジェクト (プラン、リポジトリ、パイプラインなど) のパイプラインステップ (該当する場合) を関連付け、検出、インポートし、パイプラインステップを変更できます。
      • DevOps アドミニストレーターロール:すべてのツールを編集できます。
      • その他の DevOps ロール:ツールを表示できます。
      注:

      グループを選択せずにこの手順をスキップすると、 DevOps ツールオーナーロールを持つすべてのユーザーがツールを編集できます。
   2. ツールへのアクセスを制御することを選択した場合、 すべてのアプリ所有者がツールオブジェクトを表示してアプリケーションに関連付けることができる オプションが選択可能になります。

      このオプションを使用すると、 DevOps アプリオーナーロールを持つすべてのユーザーがツールにアクセスできます。選択すると、ツールのオブジェクトの表示、関連付け、検出、履歴データのインポート、およびパイプラインステップの変更 (該当する場合) を行うことができます。

   3. [アサイン] を選択します。

   

6. オンボーディングするセキュリティツールの最初のインスタンスではない場合は、[オーケストレーションツールインスタンスを関連付ける] プレイブックアクティビティから、セキュリティツールインスタンスに関連付けるオーケストレーションツールを選択します。

   これがオンボーディングする最初のセキュリティツールインスタンスである場合、このアクティビティは表示されません。

   注:

   このプレイブックアクティビティは、複数のセキュリティツールインスタンスをオンボーディングする場合にのみ必要です。ServiceNow で複数のセキュリティツールインスタンスがオンボーディングされている場合は、セキュリティツールインスタンスのうち 1 つだけを同じオーケストレーションツールまたはパイプラインレコードに関連付ける必要があります。

   
7. [パイプラインにカスタムアクションを追加] プレイブックアクティビティセクションから、必要なカスタムアクションコードをコピーし、パイプラインのステップとして追加します。
   • ServiceNow にオンボーディングされているセキュリティインスタンスが 1 つだけの場合、パイプラインの実行時にパイプラインが Checkmarx に自動的に関連付けられます。
   • これがオンボーディングする最初のセキュリティツールインスタンスである場合は、ServiceNow にオンボーディングしたオーケストレーションツールのカスタムアクションコードをコピーできます。
     • Azure DevOps または GitHub Actions オーケストレーション ツールを使用している場合は、常にカスタム アクション コードをパイプラインに追加する必要があります。
     • パイプラインの任意のステージで Checkmarx スキャンを構成でき、スキャンの詳細は対応するステージから DevOps 変更速度管理に取得されます。Azure DevOps または GitHub Actions オーケストレーション ツールを使用している場合は、パイプラインにカスタム アクション コードを常に追加する必要があります。Jenkins を使用していて、パイプラインに Checkmarx One セキュリティスキャン (checkmarxASTScanner) ステップがすでに含まれている場合は、パイプラインにカスタムアクションコードを追加する必要はありません。Checkmarx SASTの場合、セキュリティ・スキャン・ステップ(checkmarxASTScanner)がある場合でも、カスタム・アクション・コードをパイプラインに追加する必要があります。
   • オンボーディングするセキュリティツールインスタンスがこれが最初でない場合は、手順 6 で選択したオーケストレーションツールのそれぞれのカスタムアクションコードをコピーできます。Jenkins を使用していて、パイプラインに Checkmarx One セキュリティスキャン (checkmarxASTScanner) ステップがすでに含まれている場合は、パイプラインにカスタムアクションコードを追加する必要はありません。
   • GitLab ツール用に Checkmarx を構成する場合は、汎用 Docker コンテナーイメージを使用して Checkmarx セキュリティステップを追加するか、 セキュリティツールとのデータ連携 GitLab トピックで指定されたステップを実行できます。
   • ハーネスパイプラインの場合、Checkmarx スキャンは汎用 Docker コンテナイメージでのみ設定できます。詳細については、「汎用 Docker コンテナイメージを使用したパイプラインのカスタムアクションの実装」を参照してください。
   • または、カスタムアクションコードにセキュリティツール ID を追加して、パイプラインをセキュリティツールインスタンスに関連付けることもできます。これにより、以前に関連付けられたセキュリティツールインスタンスが上書きされます。

   

8. アクティビティを完了としてマークします。
9. [概要] ページで、[ツールレコードを表示] を選択して、接続されたインスタンスの詳細を確認します。

   

次のタスク

パイプラインで Checkmarx スキャンを構成する