# 目次

1. 概要

2. シークレットスキャンとは

    2-1. シークレットスキャンの重要性

    2-2. Azure DevOpsでの活用事例

3. Azure DevOpsでのシークレットスキャンの実装手順

    3-1. 準備作業

        3-1-1. 必要なツールとライブラリ

        3-1-2. Azure DevOpsアカウントの設定

    3-2. スキャンツールの導入

        3-2-1. サードパーティーツールの選定

        3-2-2. GitGuardianを利用した場合

    3-3. スキャンの設定と実行

        3-3-1. ビルドパイプラインの設定

        3-3-2. シークレット検出ポリシーの設定

4. 結果のレポートと対策

    4-1. スキャン結果の分析

    4-2. 検出されたシークレットへの対応

    4-3. 継続的なモニタリングの重要性

5. セキュリティを強化するためのベストプラクティス

    5-1. セキュリティ教育の徹底

    5-2. こまめなスキャンの実施

    5-3. シークレット管理の自動化

6. まとめ

---

## 1. 概要

現代のソフトウェア開発プロセスにおいて、セキュリティは非常に重要な要素です。特に機密情報（例えばAPIキーやパスワードなど）の漏洩は企業にとって大きなリスクとなります。そのため、ソースコード内に誤って含まれてしまったシークレットを検知する「シークレットスキャン」の実装は不可欠です。この記事では、Azure DevOpsを利用したシークレットスキャンの具体的な実装手順を紹介します。

## 2. シークレットスキャンとは

### 2-1. シークレットスキャンの重要性

シークレットスキャンは、コードベースに含まれる機密情報を検出し、漏洩を防ぐためのプロセスです。特にオープンソースプロジェクトやチームでの共同開発時には、コードに含まれたシークレットが意図せず公開されるリスクがあります。これを適切にスキャンすることで、未然にセキュリティインシデントを防ぐことができます。

### 2-2. Azure DevOpsでの活用事例

Azure DevOpsのパイプラインを利用して、コードの一部として自動的にシークレットスキャンを行うことができ、開発者が誤ってシークレットを公開しないようにするのに役立ちます。また、Azure DevOpsは他のツールと連携しやすく、様々なスキャンツールを組み合わせた強力なセキュリティソリューションを構築することができます。

## 3. Azure DevOpsでのシークレットスキャンの実装手順

### 3-1. 準備作業

#### 3-1-1. 必要なツールとライブラリ

シークレットスキャンを実施するためには、スキャン対象のリポジトリを管理しているAzure DevOpsとスキャンツールが必要です。スキャンツールでは、GitGuardianやAqua Trivyなどが広く利用されています。

#### 3-1-2. Azure DevOpsアカウントの設定

Azure DevOpsのアカウントを持っていない場合は、新規に作成する必要があります。既存の組織に参加する形でも問題ありません。

### 3-2. スキャンツールの導入

#### 3-2-1. サードパーティーツールの選定

市場には様々なシークレットスキャンツールがありますが、それぞれの特長やコストを考慮に入れて選定することが重要です。例えば、GitGuardianはシークレット検出の精度が高く、多くの機密情報形式に対応しています。

#### 3-2-2. GitGuardianを利用した場合

GitGuardianを使用する場合、まず公式サイトからAPIキーを取得し、Azure DevOpsの環境変数として登録する必要があります。これにより、パイプラインで実行される各ジョブで手軽にAPIを利用できます。

### 3-3. スキャンの設定と実行

#### 3-3-1. ビルドパイプラインの設定

Azure DevOpsのパイプライン設定で、シークレットスキャンを自動的に実行するステップを追加します。具体的には、YAMLファイルにスキャンステージを設定し、変更がコミットされる度にスキャンが行われるようにします。

```yaml

steps:

  - task: UseGitVersion@5

  - script: |

      echo "Starting secret scan..."

      ./scan-tool.sh --api-key $(GitGuardianApiKey)

    displayName: 'Run Secret Scan'

```

#### 3-3-2. シークレット検出ポリシーの設定

ポリシー設定は、検出されたシークレットに対する処理を決定する重要な要素です。ポリシーには通常、ブロック、警告、無視の三つがあり、プロジェクトの特性に応じて設定します。

## 4. 結果のレポートと対策

### 4-1. スキャン結果の分析

スキャンが完了したら、結果を詳細に分析します。環境や設定に応じて、指定したメールアドレスにレポートを送信したり、Azure DevOps内で確認できるようにすることも可能です。

### 4-2. 検出されたシークレットへの対応

発見したシークレットに対して、即座に対応を行わなければなりません。特に重要なのは、既にコミットされたシークレットを削除し、再利用できないようにすることです。これにはヒストリの書き換えも含まれます。

### 4-3. 継続的なモニタリングの重要性

シークレットの漏洩を防ぐには、一度のスキャンで安心せず継続的な監視が不可欠です。設定を見直し、定期的なスキャンをスケジュールしておくことで、常に最新の状態を保ち続けることが可能です。

## 5. セキュリティを強化するためのベストプラクティス

### 5-1. セキュリティ教育の徹底

開発チームに対して、セキュリティに関する教育を定期的に行い、シークレットの隠蔽や適切なキー管理の重要性を徹底させることが重要です。

### 5-2. こまめなスキャンの実施

大きな変更を行う前後や定期的にスキャンを実施し、常にコードベースがクリーンな状態を保つよう努めましょう。

### 5-3. シークレット管理の自動化

Azure Key Vaultなどを利用して、シークレットを安全に保管し、必要に応じてプログラムから安全にアクセスできるようにすることで、人的ミスを最大限に減らすことができます。

## 6. まとめ

Azure DevOpsを利用したシークレットスキャンの実装は、セキュアなソフトウェア開発を行う上で欠かせません。適切なツールの選定と設定により、開発プロセスに組み込めば、リスクを大幅に軽減できます。今後増加するセキュリティ脅威に対抗するため、シークレットスキャンの継続的な実施は企業のIT戦略の重要な構成要素となるでしょう。

目次

続きを読むには単価診断を受けてください（30秒）