デフォルトでは、Datadog Secret Scanningは、Sensitive Data ScannerのSecrets & Credentialsカテゴリにあるすべてのルールを使用して、有効なリポジトリをスキャンします。SDSのCode構成ページで、実行するルールのカスタマイズ、デフォルトルールの変更、カスタムルールの作成を行うことができます。

このページで説明されているルール、スキャニンググループ、カスタムルールは、Datadogで構成されます。リポジトリ内の構成ファイルにより、スキャン対象のファイルに対する個別の制御が追加されます。ファイル構成を参照してください。

スキャニンググループ

Secret Scanningルールを構成するスキャニンググループは2つあります。

マネージドスキャングループ

マネージドスキャングループは、Datadogのセキュリティチームによって管理されています。新しいルールやルールの更新が自動的に適用され、すべての組織でデフォルトで有効になっています。

カスタムスキャングループ

カスタムスキャングループは、ユーザー組織によって管理されます。カスタム正規表現ルールを作成してテストするか、SDSルールライブラリからルールを追加できます。

ルールの構成

デフォルトルールのカスタマイズ

マネージドデフォルトルールの重大度やキーワードをカスタマイズするには、ルールにカーソルを合わせ、右側の鉛筆アイコンをクリックします。

編集ダイアログが開きます。

ルールを編集して右下の Update をクリックすると、変更されたルールがマネージドスキャングループに Customized として表示されます。

カスタムルールの作成

カスタムルールを作成するには、カスタムスキャングループに移動し、下部の Add scanning rule または右上の Add rule をクリックします。正規表現ルールを作成し、重大度とキーワードを設定します。有効にすると、次のコミット時に新しいルールでリポジトリがスキャンされます。

カスタムルールを更新するには、ルールにカーソルを合わせ、右側の鉛筆アイコンをクリックします。

ルールの無効化

右側の青いトグルをクリックして、ルールを無効にします。

ファイル構成

ルールは、「ルールの構成」セクションで説明されているようにDatadogで構成されます。Secret Scanningがどのファイルを読み取るかは、Code Security構成の secrets キーの下で構成されます。Datadogで定義するか、リポジトリのルートにある code-security.datadog.yaml ファイルで定義します。

設定場所、優先順位、マージの詳細については、「Code Security 構成リファレンス」を参照してください。

構成は schema-version: v1.5 で始まり、その後に secrets キーがあり、その中に global-config オブジェクトを含む必要があります。global-config オブジェクトは、リポジトリ全体に適用する設定を指定します。

構成サンプル

schema-version: v1.5
secrets:
  global-config:
    # Only analyze the following paths/files
    only-paths:
      - "src"
      - "**/*.py"
    # Do not analyze the following paths/files
    ignore-paths:
      - "tests"
      - "**/*.lock"
    use-gitignore: true
    ignore-generated-files: true
    max-file-size-kb: 10240