Checkmarx を DevOps 変更速度管理にオンボーディング - ワークスペース

  • リリースバージョン: Australia
  • 更新日 2026年03月12日
  • 所要時間：7分

    • DevOps 変更ワークスペースプレイブックを使用して、Checkmarx インスタンスに接続します。

    始める前に

    DevOps 変更速度管理 の使用を開始するにはトピックで指定されたタスクを完了します。

    必要なロール：sn_devops.admin または sn_devops.tool_owner

    このタスクについて

    Checkmarx には、Checkmarx SAST と Checkmarx One の2種類のツールがあります。

    手順

    1. 移動先 ワークスペース > DevOps 変更ワークスペース をクリックし、次のいずれかのオプションを使用してプレイブックを開き、Checkmarx をオンボーディングします。
      オプションステップ
      ホームページ
      1. [ツールを接続] ウィジェットを選択します
      2. [ツールに接続] モーダルで、[セキュリティ] カテゴリから [Checkmarx One] または [Checkmarx SAST] を選択します。
      アプリケーションモジュール
      1. [アプリケーション] ([アプリケーション] アイコン) を選択します。
      2. 既存のアプリケーションを選択するか、新規作成します。アプリケーションを作成する場合は、アプリケーションの作成 - クラシック を参照します。
      3. [推奨アクション] ペインから、[ツールを接続] カードを選択します。
      4. [ツールに接続] モーダルで、[セキュリティ] カテゴリから [Checkmarx One] または [Checkmarx SAST] を選択します。
      ツールモジュール
      1. [ツール] ([ツール] アイコン) を選択します。
      2. 機能リストから、セキュリティを選択します。
      3. [ツールを接続] を選択します。
      4. [ツールに接続] モーダルで、[Checkmarx One] または [Checkmarx SAST] を選択します。
    2. ツールを識別する名前を入力し、[次へ] を選択します。プレイブックの Checkmarx ツールに接続
    3. インスタンス詳細プレイブックアクティビティセクションで、Checkmarx One と Checkmarx SAST のどちらに接続するかに基づいて、次の認証情報を入力します。
      ツールステップ
      Checkmarx SAST
      1. [サーバー URL] フィールドに、Checkmarx SAST インスタンスのサーバー URL を入力します。Checkmarx SAST インスタンスの詳細を入力するプレイブックアクティビティ
      2. [API ID] フィールドに、Checkmarx SAST インスタンスの API ID を入力します。
      3. [API キー] フィールドに、Checkmarx SAST インスタンスの API キーを入力します。
      Checkmarx One
      1. [CheckmarxOne アクセス制御ベース URL] フィールドに、Checkmarx One インスタンスの Checkmarx One アクセス制御ベース URL を入力します。Checkmarx One インスタンスの詳細の入力プレイブックアクティビティ
      2. [CheckmarxOne API ベース URL] フィールドに、Checkmarx One インスタンスの API ベース URL を入力します。
      3. [テナント (Tenant)] フィールドに、Checkmarx SAST インスタンスのテナントの名前を入力します。
      4. [クライアント ID] フィールドに、Checkmarx SAST インスタンスのクライアント ID を入力します。
      5. [クライアントシークレット] フィールドに、Checkmarx SAST インスタンスのクライアントシークレットを入力します。

      Checkmarx SASTユーザーに、プロジェクトおよびスキャン結果を読み取ってサマリーの詳細を取得する権限を持つロールがあることを確認します。詳細については、「Checkmarx ドキュメント」を参照してください。Checkmarx Oneユーザーに、スキャンサマリーの詳細にアクセスするための create-scan ロールおよび manage-project ロールを持っていることを確認します。詳細については、「Checkmarx ドキュメント」を参照してください。

    4. [接続] を選択し、正常に接続された Checkmarx インスタンスの詳細を確認します。
    5. ツールのアクセス権を指定します。
      1. ツールへのアクセスを制御する場合は、ツールへのアクセス権を付与する必要があるグループを [保守担当者 ] フィールドに追加します。
        グループ内のこれらのユーザーが実行できるタスクは、割り当てられたロールによって異なります。
        • DevOps ツールオーナーロール: ツールを表示および編集できます。
        • DevOps アプリオーナーロール: ツールを表示し、ツールのオブジェクト (プラン、リポジトリ、パイプラインなど) の関連付け、検出、履歴データのインポート、パイプラインステップの変更 (該当する場合) を実行できます。
        • DevOps 管理者ロール: すべてのツールを編集できます。
        • その他の DevOps ロール: ツールを表示できます。
        注:
        グループを選択せずにこの手順をスキップすると、 DevOps ツールオーナーロールを持つすべてのユーザーがツールを編集できます。
      2. ツールへのアクセスを制御することを選択した場合、 すべてのアプリ所有者がツールオブジェクトを表示してアプリケーションに関連付けることができる オプションが選択可能になります。

        このオプションを使用すると、 DevOps アプリオーナーロールを持つすべてのユーザーがツールにアクセスできます。選択すると、ツールのオブジェクトの表示、関連付け、検出、履歴データのインポート、およびパイプラインステップの変更 (該当する場合) が可能になります。

      3. [アサイン] を選択します。

      ツールアクセスプレイブックアクティビティを指定

    6. これがオンボーディングするセキュリティツールの最初のインスタンスでない場合は、[オーケストレーションツールインスタンスを関連付け] プレイブックアクティビティからセキュリティツールインスタンスに関連付けるオーケストレーションツールを選択します。

      これがオンボーディングする最初のセキュリティツールインスタンスである場合、このアクティビティは表示されません。

      注:
      このプレイブックアクティビティは、複数のセキュリティツールインスタンスをオンボーディングする場合にのみ必要です。ServiceNow で複数のツールインスタンスがオンボーディングされている場合は、1 つのツールインスタンスのみを同じオーケストレーションツールまたはパイプラインレコードに関連付ける必要があります。
      オーケストレーションツールインスタンスプレイブックアクティビティを関連付け
    7. [パイプラインにカスタムアクションを追加] プレイブックアクティビティセクションから、必要なカスタムアクションコードをコピーし、パイプラインのステップとして追加します。
      • ServiceNow に 1 つのセキュリティインスタンスのみがオンボードされている場合、パイプラインの実行時に自動的に Checkmarx に関連付けられます。
      • これがオンボーディングする最初のセキュリティツールインスタンスである場合は、ServiceNow でオンボーディングしたオーケストレーションツールのカスタムアクションコードをコピーできます。
        • Azure DevOps または GitHub Actions オーケストレーションツールを使用している場合は、常にカスタムアクションコードをパイプラインに追加する必要があります。
        • Checkmarx スキャンはパイプラインの任意のステージで構成でき、スキャンの詳細は対応するステージから DevOps 変更速度管理に取得されます。Azure DevOps または GitHub Actions オーケストレーションツールを使用している場合は、常にパイプラインにカスタムアクションコードを追加する必要があります。Jenkins を使用していて、パイプラインに Checkmarx One セキュリティスキャンステップ (checkmarxASTScanner) が既に含まれている場合は、パイプラインにカスタムアクションコードを追加する必要はありません。Checkmarx SAST の場合、セキュリティスキャンステップ (checkmarxASTScanner) がある場合でも、カスタムアクションコードをパイプラインに追加する必要があります。
      • オンボーディングするセキュリティツールインスタンスがこれが最初でない場合は、手順 6 で選択したオーケストレーションツールのそれぞれのカスタムアクションコードをコピーできます。Jenkins を使用していて、パイプラインに Checkmarx One セキュリティスキャンステップ (checkmarxASTScanner) が既に含まれている場合は、パイプラインにカスタムアクションコードを追加する必要はありません。
      • GitLab ツール用に Checkmarx を構成する場合は、汎用 Docker コンテナイメージを使用して Checkmarx セキュリティステップを追加するか、セキュリティツールを GitLab と統合する トピックで指定されている手順を実行します。
      • ハーネスパイプラインの場合、汎用の Docker コンテナイメージを介してのみ Checkmarx スキャンを構成できます。詳細については、「汎用 Docker コンテナイメージを使用したパイプラインのカスタムアクションの実装」を参照してください。
      • または、カスタムアクションコードにセキュリティツール ID を追加して、パイプラインをセキュリティツールインスタンスに関連付けることもできます。これは、以前に関連付けられたツールインスタンスを上書きします。
      パイプラインプレイブックアクティビティにカスタムアクションを追加 Checkmarx SAST
    8. アクティビティを完了としてマークします。
    9. [サマリー] ページで、[ツールレコードを表示] を選択して、接続されたインスタンスの詳細を確認します。

      プレイブックサマリーページ

    次のタスク

    パイプラインでの Checkmarx スキャンの構成