以下の手順に従って、Code Security の Infrastructure as Code (IaC) Security を有効にします。IaC Security は、GitHub、GitLab、または Azure DevOps リポジトリに保存されている複数の IaC 構成をサポートしています。

汎用 CI プロバイダーで IaC をセットアップする

概要

GitHub Actions、GitLab CI/CD、または Azure DevOps を使用していない場合は、CI パイプラインで直接 Datadog IaC Scanner を実行できます。datadog-ci CLI を使用して、IaC スキャン結果を Datadog にアップロードします。

GitHub 以外のリポジトリで IaC Security を実行している場合は、デフォルトブランチで最初のスキャンを実行してください。デフォルトブランチが master、main、default、stable、source、prod、または develop 以外の名前を使用している場合は、リポジトリの最初のスキャンをアップロードしてください。その後、Repository Settings でデフォルトブランチを手動で上書きし、デフォルトブランチ以外からの将来のスキャンがアップロードされて正しく処理されるようにします。

前提条件

• Node.js 20 以降および npm
• curl
• tar
• /usr/local/bin にスキャナーをインストールする権限

次の環境変数を設定します。

CI パイプラインに下記を追加します。

# Set the Datadog site to send information to
export DD_SITE="datadoghq.com"

# Install dependencies
npm install -g @datadog/datadog-ci

# Download the latest Datadog IaC Scanner (x86_64/amd64 Linux; see GitHub Releases for arm64 and other platforms)
export IAC_SCANNER_URL="https://github.com/DataDog/datadog-iac-scanner/releases/latest/download/datadog-iac-scanner_linux_amd64.tar.gz"
curl -L "${IAC_SCANNER_URL}" -o /tmp/datadog-iac-scanner.tar.gz
tar xfz /tmp/datadog-iac-scanner.tar.gz -C /tmp
mv /tmp/datadog-iac-scanner /usr/local/bin/datadog-iac-scanner

# Run the Datadog IaC scanner
exit_code=0
/usr/local/bin/datadog-iac-scanner scan -p . -o /tmp || exit_code=$?
if [ $exit_code -lt 20 -o $exit_code -gt 60 ]; then echo "IaC scan failed" ; exit $exit_code ; fi

# Upload results
datadog-ci sarif upload /tmp/datadog-iac-scanner-result.sarif

サードパーティの静的解析結果を IaC Security にアップロードする

SARIF レポートをアップロードするには:

1. DD_API_KEY 変数と DD_APP_KEY 変数が定義されていることを確認します。

2. 必要に応じて、DD_SITE変数を設定します (デフォルトは datadoghq.com です)。

3. datadog-ci ユーティリティ (バージョン 2.0 以降) をインストールします。

   npm install -g @datadog/datadog-ci
   

4. サードパーティの IaC スキャンツール (Checkov、Trivy、KICS など) をコードに対して実行し、結果を SARIF v2.1.0 形式で出力します。

5. 結果を Datadog にアップロードします。

   datadog-ci sarif upload $OUTPUT_LOCATION
   

   • アップロードオプション
     • --tags: カスタムタグを追加する (形式: key:value)
     • --max-concurrency: 同時アップロード数を設定する (デフォルト: 20)
     • --dry-run: アップロードせずに検証する

必須の SARIF 属性

サードパーティ製スキャナー (Checkov を除く) の Datadog IaC Scanning で適切に取り込み、表示させるには、IaC Security の検出結果として認識されるために、SARIF ファイルに次の属性が含まれている必要があります。

1. Runs[...].tool.driver.name: Datadog IaC Scanning
2. Runs[...].tool.driver.version: "code_update" または "full_scan"
   • "full_scan” リポジトリ全体の完全スキャン用
   • "code_update" プルリクエスト/インクリメンタルスキャン用
3. Runs[...].tool.driver.rules[...].properties.tags:
   • ["DATADOG_RULE_TYPE:IAC_SCANNING"]
   • [“DATADOG_SCANNED_FILE_COUNT: <number>”] ("number" はスキャンされたファイルの数)
4. Runs[...].results[...].locations[...].physicalLocation:
   • artifactLocation.uri: リポジトリルートからのファイルの相対パス
   • region.startLine: 開始行番号
   • region.endLine: 終了行番号
   • region.startColumn: 開始列番号
   • region.endColumn: 終了列番号

参考資料

お役に立つドキュメント、リンクや記事:

Code Securityドキュメント IaC Securityドキュメント IaC Security の構成ドキュメント IaC Security ルールドキュメント