Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

CI/CD 統合を構成する

CI/CD 統合により、CI/CD パイプラインがアーティファクト保護に接続され、ビルドステージでコンテナの脆弱性が検出されます。

スキャナは、GitHub Actions、Cloud Build、Jenkins をサポートしています。パイプラインに統合すると、イメージがレジストリに push される前に、コンテナイメージがアーティファクト保護ポリシーに照らして評価されます。

スキャナの機能

CI/CD 統合は、CI/CD ワークフロー内のバイナリとして実行され、次のタスクを実行します。

ビルド時のポリシー評価: 構成されたアーティファクト保護ポリシーに対して、新しくビルドされたコンテナイメージをスキャンします。
ビルドのブロック: セキュリティポリシーに違反するビルドをブロックするために、CI/CD ランナー（GitHub Actions、Cloud Build、Jenkins）に終了コードを返します。
スキャンレポート: 脆弱性スキャン結果を Security Command Center に送信し、JSON または SARIF 形式でローカルレポートを出力します。

対象となる役割と責任

CI/CD 統合は、次のチーム向けに設計されています。

DevOps チームまたはプラットフォームエンジニアリングチーム: パイプラインコネクタを作成し、CI/CD ワークフロー構成にスキャナ実行ステップを追加します。
セキュリティ管理者: スキャナが適用するビルド時の脆弱性ポリシーを定義します。
アプリケーション開発者: CI/CD ビルド出力でスキャン実行ログを確認し、ポリシー違反を特定して修正します。

主な用語と概念

共通脆弱性識別子（CVE）: 一意の識別子が割り当てられた、一般公開されているコンピュータセキュリティの脆弱性。
ソフトウェア部品構成表（SBOM）: CVE やその他のセキュリティリスクの特定に使用されるソフトウェアコンポーネントと依存関係の機械可読インベントリ。
アーティファクト: アーティファクト保護のコンテキストでは、CI/CD パイプラインによって構築されたコンテナイメージ。
コネクタ: CI/CD パイプラインをアーティファクト保護にリンクするリソース。スキャン中に CI パイプラインから渡されると、コネクタ ID によって、イメージを評価するポリシーが決まります。
CI ポリシー: CI/CD ビルド中に適用される特定の CVE、重大度、パッケージルールを定義する脆弱性ポリシー。

大まかなワークフロー

CI/CD の脆弱性スキャンを構成して実行するには、次のワークフローを完了します。

ターゲット CI/CD プラットフォームの CI コネクタを作成します。
パイプラインスコープにコネクタ ID を含むアーティファクト保護ポリシーを作成します。
Google Cloudで認証し、コンテナイメージをビルドして、スキャナコンテナを実行するように CI/CD パイプラインを構成します。

パイプラインが実行されると、スキャナはコンテナイメージをポリシーに照らして評価します。イメージがポリシーに違反している場合、スキャナは失敗の終了コードを返してビルドを失敗させます。その後、デベロッパーはビルドログを調べて、脆弱な依存関係を更新し、ビルドを再実行できます。

始める前に

CI/CD 統合を使用するには、アーティファクト保護を有効にする必要があります。手順については、アーティファクト保護のドキュメントの始める前にをご覧ください。

コネクタを作成

コンソール

Google Cloud コンソールでコネクタを作成する手順は次のとおりです。

Google Cloud コンソールで、[セキュリティ] > [設定] に移動します。
[アーティファクト保護] カードで、[設定を管理] をクリックします。
[コネクタを作成] をクリックし、コネクタの次の詳細を入力します。
- コネクタ ID: コネクタの ID を追加します。
- 説明: コネクタの説明を入力します。
- CI/CD プラットフォーム: リストから対応する CI/CD プラットフォームを選択します。このコネクタは、選択した CI/CD プラットフォームで構築されたパイプラインでのみ使用します。
[作成] をクリックします。

コネクタが正常に作成されたことを確認する通知が表示されます。[コネクタ] テーブルには、使用可能なコネクタが一覧表示されます。

gcloud CLI

gcloud CLI を使用してコネクタを作成するには、次のコマンドを実行します。

gcloud alpha scc artifact-guard connectors create CONNECTOR_ID \
    --location=LOCATION \
    (--organization=ORGANIZATION_ID | --project=PROJECT_NUMBER) \
    --pipeline-type=PIPELINE_TYPE \
    [--description=DESCRIPTION] \
    [--display-name=DISPLAY_NAME]

次のように置き換えます。

CONNECTOR_ID: コネクタの識別子（例: my-connector）。
LOCATION: データが保存されている Security Command Center のロケーション。global のみがサポートされています。
ORGANIZATION_ID: 組織 ID。
PROJECT_NUMBER: 数値のプロジェクト番号。
PIPELINE_TYPE: CI/CD パイプラインのタイプ。次のいずれかの値を設定する必要があります。
- GOOGLE_CLOUD_BUILD
- GITHUB_ACTIONS
- JENKINS_PIPELINE
DESCRIPTION: コネクタの説明文。
DISPLAY_NAME: コネクタのわかりやすい表示名。

コネクタを更新する

コンソール

Google Cloud コンソールでポリシーをコネクタにリンクする手順は次のとおりです。

Google Cloud コンソールで、[セキュリティ] > [設定] に移動します。
[アーティファクト保護] カードで、[設定を管理] をクリックします。
[コネクタ] テーブルで、コネクタの横にあるをクリックし、[ポリシーを追加] を選択します。
アーティファクト保護ポリシーを作成または更新する手順に進みます。詳細については、ポリシーを作成するをご覧ください。

gcloud CLI

gcloud CLI を使用して既存のコネクタを表示し、ポリシーの関連付けを更新するには、次のコマンドを使用します。

コネクタの一覧表示

gcloud alpha scc artifact-guard connectors list PARENT

次のように置き換えます。

PARENT: 組織またはプロジェクト。親リソースに使用できる形式は次のとおりです。
- organizations/ORGANIZATION_ID/locations/LOCATION
- projects/PROJECT_NUMBER/locations/LOCATION

コネクタの説明を取得する

gcloud alpha scc artifact-guard connectors describe CONNECTOR_ID \
    --location=LOCATION \
    (--organization=ORGANIZATION_ID | --project=PROJECT_NUMBER)

コネクタポリシーの関連付けを更新する

コネクタをポリシーにリンクするには、ポリシー定義ファイルのパイプラインスコープにコネクタ ID を含め、gcloud alpha scc artifact-guard policies update コマンドを使用してポリシーを更新します。詳細については、ポリシーを作成するをご覧ください。

コネクタを削除する

コンソール

Google Cloud コンソールでコネクタを削除する手順は次のとおりです。

Google Cloud コンソールで、[セキュリティ] > [設定] に移動します。
[アーティファクト保護] カードで、[設定を管理] をクリックします。
[コネクタ] テーブルで、コネクタの横にあるをクリックし、[コネクタを削除] を選択します。
確認メッセージに沿ってコネクタを削除します。中止するには、[キャンセル] をクリックします。

gcloud CLI

gcloud CLI を使用してコネクタを削除するには、次のコマンドを実行します。

gcloud alpha scc artifact-guard connectors delete CONNECTOR_ID \
    --location=LOCATION \
    (--organization=ORGANIZATION_ID | --project=PROJECT_NUMBER)

評価を実行する

GitHub Actions と Jenkins パイプラインは脆弱性スキャンをサポートしています。評価を行うには、次の操作を行う必要があります。

認証用のシークレットを作成します。
パイプラインに固有のインテグレーションテンプレートファイルを作成します。
評価を開始する。

シークレットの構成

Google Cloud の外部で実行されている CI/CD パイプラインは、サービスアカウントキーまたは Workload Identity 連携を使用して認証できます。シークレットの作成に関する詳細な手順については、以下をご覧ください。

サービスアカウントキー

サービスアカウントキーを作成する

Workload Identity 連携（GitHub Actions 用）

次のいずれかの方法で、CI/CD 環境にシークレットを追加する必要があります。

サービスアカウントキーのメソッド

1 つのシークレット:

GCP_CREDENTIALS: ダウンロードしたサービスアカウントの JSON キーファイルの内容。

Workload Identity 連携メソッド

2 つのシークレット:

GCP_WORKLOAD_IDENTITY_PROVIDER: Workload Identity プロバイダの完全なリソース名。例: projects/12345/locations/global/workloadIdentityPools/my-pool/providers/my-provider
GCP_SERVICE_ACCOUNT: 権限借用するサービスアカウントのメールアドレス。

パイプライン統合テンプレート

評価をトリガーするには、次のテンプレート例を使用して、パイプライン（Cloud Build、GitHub Actions、Jenkins）に固有のファイルを作成する必要があります。

Cloud Build

各フィールドの詳細については、変数定義をご覧ください。

steps:
      # Step 1: Generate auth token
      - name: 'gcr.io/cloud-builders/gcloud'
      id: 'Generate Token'
      entrypoint: 'bash'
      args:
            - '-c'
            - |
            echo "Starting token generation..."
            gcloud auth print-access-token > /workspace/gcp_token.txt
            if [ $? -eq 0 ]; then
                  echo "Token generated successfully."
            else
                  echo "Failed to generate token." >&2
                  exit 1
            fi

      # Step 2: Build the image locally
      - name: 'gcr.io/cloud-builders/docker'
      id: 'Build Image'
      entrypoint: 'bash'
      args:
            - '-c'
            - |
            echo "🚧 Building Docker image from source code..."
            docker build -t ${_IMAGE_NAME_TO_SCAN}:${_IMAGE_TAG} .
            if [ $? -ne 0 ]; then
                  echo "❌ Docker build failed."
                  exit 1
            fi
            echo "✅ Docker image built successfully: ${_IMAGE_NAME_TO_SCAN}:${_IMAGE_TAG}"

      # Step 3: Image scan for vulnerabilities
      - id: 'Image-Analysis'
      name: '${_SCANNER_IMAGE}'
      entrypoint: 'bash'
      args:
            - '-c'
            - |
            echo "Starting image scan with scanner: ${_SCANNER_IMAGE}"

            exit_code=0

            docker run --rm \
                  -v /var/run/docker.sock:/var/run/docker.sock \
                  -v /workspace:/workspace \
                  -e GCP_PROJECT_ID="${_PROJECT_ID}" \
                  -e ORGANIZATION_ID="${_ORGANIZATION_ID}" \
                  -e IMAGE_NAME="${_IMAGE_NAME_TO_SCAN}" \
                  -e IMAGE_TAG="${_IMAGE_TAG}" \
                  -e CONNECTOR_ID="${_CONNECTOR_ID}" \
                  -e TRIGGER_ID="${_TRIGGER_ID}" \
                  -e IGNORE_ERRORS="${_IGNORE_ERRORS}" \
                  -e GCP_ACCESS_TOKEN="$(cat /workspace/gcp_token.txt)" \
                  "${_SCANNER_IMAGE}" || exit_code=$?

            echo "Docker run finished with exit code: $exit_code"

            if [ $exit_code -eq 0 ]; then
                  echo "✅ Evaluation succeeded: Conformant image."
            elif [ $exit_code -eq 1 ]; then
                  echo "❌ Scan failed: Non-conformant image."
                  exit 1
            else
                  if [ "${_IGNORE_ERRORS}" = "true" ]; then
                        echo "⚠️ Server/internal error ignored. Continuing."
                  else
                        echo "❌ Server/internal error. Exiting."
                        exit 1
                  fi
            fi

      # Step 4: Configure Docker authentication for Artifact Registry
      - name: 'gcr.io/cloud-builders/gcloud'
      id: 'Configure Docker Auth'
      entrypoint: 'bash'
      args:
            - '-c'
            - |
            echo "🔐 Configuring Docker authentication for Artifact Registry..."
            gcloud auth configure-docker us-east1-docker.pkg.dev -q
            echo "✅ Docker authentication configured."

      # Step 5: Push image to Artifact Registry
      - name: 'gcr.io/cloud-builders/docker'
      id: 'Push Image to Artifact Registry'
      entrypoint: 'bash'
      args:
            - '-c'
            - |

            docker tag "${_IMAGE_NAME_TO_SCAN}:${_IMAGE_TAG}" "us-east1-docker.pkg.dev/${_PROJECT_ID}/${_AR_REPOSITORY}/${_IMAGE_NAME_TO_SCAN}:${_IMAGE_TAG}"

            echo "🚀 Pushing $_FULL_AR_TAG..."
            docker push "us-east1-docker.pkg.dev/${_PROJECT_ID}/${_AR_REPOSITORY}/${_IMAGE_NAME_TO_SCAN}:${_IMAGE_TAG}"

            echo "✅ Image pushed successfully."

substitutions:
      _IMAGE_NAME_TO_SCAN: 'checkout-image'
      _ORGANIZATION_ID: 'orgId'
      _CONNECTOR_ID: 'connectorId'
      _SCANNER_IMAGE: 'us-central1-docker.pkg.dev/ci-plugin/ci-images/scc-artifactguard-scan-image:latest'
      _IMAGE_TAG: 'latest'
      _TRIGGER_ID: 'cloud-build-job'
      _PROJECT_ID: 'projectId'
      _AR_REPOSITORY: 'images'
      _IGNORE_ERRORS: "false"

serviceAccount: "projects/projectId/serviceAccounts/id-compute@developer.gserviceaccount.com"

options:
      logging: CLOUD_LOGGING_ONLY

GitHub Actions（シークレット）

このテンプレートは、秘密鍵を使用する GitHub Actions 用です。

サービスアカウントのシークレットキー（GCP_CREDENTIALS）を追加します。

追加フィールドについては、変数定義をご覧ください。

# A workflow to BUILD the app image, RUN the scanner, and PUSH to AR if scan passes
name: Build, Scan and Push

on:
 workflow_dispatch:
   inputs:
      IMAGE_NAME_TO_SCAN:
            description: 'The tag for your application image to be built (e.g., my-app:latest)'
            required: true
            default: 'checkout-image'
      GCP_PROJECT_ID:
            description: 'GCP Project ID for authentication'
            required: true
            default: 'projectId'
      AR_REPOSITORY:
            description: 'Artifact Registry repository name (e.g., app-repo)'
            required: false
            default: 'images'
      ORGANIZATION_ID:
            description: 'Your GCP Organization ID'
            required: true
            default: 'orgId'
      CONNECTOR_ID:
            description: 'The ID for your pipeline connector'
            required: true
            default: 'connectorId'
      SCANNER_IMAGE:
            description: 'The full registry path for your PRE-BUILT scanner tool'
            required: true
            default: 'us-central1-docker.pkg.dev/ci-plugin/ci-images/scc-artifactguard-scan-image:latest'
      IMAGE_TAG:
            description: 'The Docker image version (of the app image)'
            required: true
            default: 'latest'
      IGNORE_SERVER_ERRORS:
            description: 'Ignore server errors'
            required: false
            type: boolean
            default: false
      VERBOSITY:
            description: 'Verbosity flag'
            required: false
            default: 'HIGH'

jobs:
 build-and-scan:
   runs-on: ubuntu-latest
   steps:
      # 1. Check out repository (for your app's Dockerfile)
      - name: Check out repository
        uses: actions/checkout@v4

      # 2. Authenticate to Google Cloud
      - name: Authenticate to GCP
        id: auth
        uses: 'google-github-actions/auth@v2'
        with:
            credentials_json: '${{ secrets.GCP_CREDENTIALS }}'

      # 3. Set up the gcloud CLI
      - name: Set up Cloud SDK
        uses: 'google-github-actions/setup-gcloud@v2'
        with:
            project_id: ${{ inputs.GCP_PROJECT_ID }}

       # 4. Configure Docker (needed to pull SCANNER_IMAGE and push app image)
      - name: Configure Docker
        run: gcloud auth configure-docker us-central1-docker.pkg.dev --quiet

      # 5. Build Application Image Locally (IMAGE_NAME_TO_SCAN)
      - name: Build Application Image Locally
        uses: docker/build-push-action@v5
        with:
            context: .
            file: ./Dockerfile
            push: false  # <-- Do not push
            load: true   # <-- Load image into the runner's local daemon
            # Tag the image with the name the scanner will look for
            tags: |
            ${{ inputs.IMAGE_NAME_TO_SCAN }}:${{ inputs.IMAGE_TAG }}

      # 6. Run Image Scan (Using the SCANNER_IMAGE)
      - name: 'Run Image Analysis Scan'
        if: steps.auth.outcome == 'success'
        run: |
            echo "📦 Pulling scanner image and running scan..."

      SCANNER_IMAGE="${{ github.event_name == 'workflow_dispatch' && github.event.inputs.SCANNER_IMAGE || env.SCANNER_IMAGE }}"
      GCP_PROJECT_ID="${{ github.event_name == 'workflow_dispatch' && github.event.inputs.GCP_PROJECT_ID || env.GCP_PROJECT_ID }}"
      ORGANIZATION_ID="${{ github.event_name == 'workflow_dispatch' && github.event.inputs.ORGANIZATION_ID || env.ORGANIZATION_ID }}"
      IMAGE_NAME="${{ github.event_name == 'workflow_dispatch' && github.event.inputs.IMAGE_NAME_TO_SCAN || env.IMAGE_NAME_TO_SCAN }}"
      IMAGE_TAG="${{ github.event_name == 'workflow_dispatch' && github.event.inputs.IMAGE_TAG || env.IMAGE_TAG }}"
      CONNECTOR_ID="${{ github.event_name == 'workflow_dispatch' && github.event.inputs.CONNECTOR_ID || env.CONNECTOR_ID }}"
      VERBOSITY="${{ github.event_name == 'workflow_dispatch' && github.event.inputs.VERBOSITY || env.VERBOSITY }}"
      IGNORE_ERRORS="${{ github.event_name == 'workflow_dispatch' && github.event.inputs.IGNORE_SERVER_ERRORS || (env.IGNORE_SERVER_ERRORS == 'true') }}"

      exit_code=0

      # This 'docker run' pulls the SCANNER_IMAGE from the registry
      # and passes the name of the locally-built app image (IMAGE_NAME)
      docker run --rm \
            -v /var/run/docker.sock:/var/run/docker.sock \
            -v ${{ steps.auth.outputs.credentials_file_path }}:/tmp/scc-key.json \
            -e GCLOUD_KEY_PATH=/tmp/scc-key.json \
            -e GCP_PROJECT_ID="${GCP_PROJECT_ID}" \
            -e ORGANIZATION_ID="${ORGANIZATION_ID}" \
            -e IMAGE_NAME="${IMAGE_NAME}" \
            -e IMAGE_TAG="${IMAGE_TAG}" \
            -e CONNECTOR_ID="${CONNECTOR_ID}" \
            -e BUILD_TAG="${{ github.workflow }}" \
            -e BUILD_ID="${{ github.run_number }}" \
            -e VERBOSITY="${VERBOSITY}" \
            "${SCANNER_IMAGE}" \
            || exit_code=$?

      echo "Docker run finished with exit code: $exit_code"

      # --- Replicate Jenkins Exit Code Logic ---
      if [ $exit_code -eq 0 ]; then
        echo "✅ Evaluation succeeded: Conformant image."
      elif [ $exit_code -eq 1 ]; then
        echo "❌ Scan failed: Non-conformant image (vulnerabilities found)."
        exit 1 # Fail the step
      else
       if [ "$IGNORE_ERRORS" = "true" ]; then
            echo "⚠️ Server/internal error occurred (Code: $exit_code), but IGNORE_SERVER_ERRORS=true. Proceeding."
      else
        echo "❌ Server/internal error occurred (Code: $exit_code) during evaluation. Set IGNORE_SERVER_ERRORS=true to override."
        exit 1 # Fail the step
      fi
      fi

      # 8. Push Application Image (ONLY if scan succeeded)
      # This step only runs if the 'Run Image Analysis Scan' step above exited with 0
      - name: Push Application Image to Artifact Registry
        run: |
        # Define the local and remote tags
        LOCAL_IMAGE_NAME="${{ inputs.IMAGE_NAME_TO_SCAN }}:${{ inputs.IMAGE_TAG }}"

        # This path is based on your 'Configure Docker' step (us-central1)
        # and the new AR_REPOSITORY input.
        FULL_AR_TAG="us-central1-docker.pkg.dev/${{ inputs.GCP_PROJECT_ID }}/${{ inputs.AR_REPOSITORY }}/${{ inputs.IMAGE_NAME_TO_SCAN }}:${{ inputs.IMAGE_TAG }}"

        echo "Tagging local image ${LOCAL_IMAGE_NAME} as ${FULL_AR_TAG}"
        docker tag "${LOCAL_IMAGE_NAME}" "${FULL_AR_TAG}"

        echo "Pushing ${FULL_AR_TAG} to Artifact Registry..."
        docker push "${FULL_AR_TAG}"

GitHub Actions（WIF）

これは、Workload Identity 連携を使用する GitHub Actions のテンプレートです。

GitHub シークレット（GCP_WORKLOAD_IDENTITY_PROVIDER）に Workload Identity プロバイダを追加します。
GitHub シークレット（GCP_SERVICE_ACCOUNT）にサービスアカウントを追加します。

追加フィールドについては、変数定義をご覧ください。

# A workflow to BUILD the app image, RUN the scanner, and PUSH to AR if scan passes
name: Build, Scan and Push

on:
  push:
    branches:
      - main
  workflow_dispatch:
  inputs:
    IMAGE_NAME_TO_SCAN:
      description: 'The tag for your application image to be built (e.g., my-app:latest)'
      required: true
      default: 'checkout-image'
    GCP_PROJECT_ID:
      description: 'GCP Project ID for authentication and configuration'
      required: true
      default: 'projectId'
    ORGANIZATION_ID:
      description: 'Your GCP Organization ID'
      required: true
      default: 'orgId'
    CONNECTOR_ID:
      description: 'The ID for your pipeline connector'
      required: true
      default: 'connectorId'
    SCANNER_IMAGE:
      description: 'The Docker image that contains your scanner script'
      required: true
      default: 'us-central1-docker.pkg.dev/ci-plugin/ci-images/scc-artifactguard-scan-image:latest'
    IMAGE_TAG:
      description: 'The Docker image version'
      required: true
      default: 'latest'
    IGNORE_SERVER_ERRORS:
      description: 'If true, the pipeline continues on server/internal scanner errors.'
      required: false
      type: boolean
      default: false

jobs:
  image-analysis-job:
  runs-on: ubuntu-latest
  permissions:
      contents: 'read'
      id-token: 'write'

  env:
      IMAGE_NAME_TO_SCAN: 'webgoat/webgoat'
      GCP_PROJECT_ID: 'projectId'
      ORGANIZATION_ID: 'orgId'
      CONNECTOR_ID: 'connectorId'
      SCANNER_IMAGE: 'us-central1-docker.pkg.dev/ci-plugin/ci-images/scc-artifactguard-scan-image:latest'
      IMAGE_TAG: 'imageTag'
      IGNORE_SERVER_ERRORS: 'false'

  steps:
      # Step 1: Authenticate and create credential file
      - name: 'Authenticate to Google Cloud'
      id: 'auth'
      uses: 'google-github-actions/auth@v2'
      with:
      workload_identity_provider: ${{ secrets.GCP_WORKLOAD_IDENTITY_PROVIDER }}
      service_account: ${{ secrets.GCP_SERVICE_ACCOUNT }}
      create_credentials_file: true

      # Step 2: Set up gcloud SDK
      - name: 'Set up gcloud SDK'
      uses: 'google-github-actions/setup-gcloud@v2'

      # Step 3: Configure Docker for registries
      - name: 'Configure Docker for Artifact Registry'
      run: |
      gcloud auth configure-docker us-central1-docker.pkg.dev --quiet

      # Step 4: Run Image Analysis Scan and Handle Exit Codes
      - name: 'Run Image Analysis Scan'
      run: |
      echo "📦 Running container from scanner image..."

      # Determine values: Use manual inputs if available (event_name=workflow_dispatch), otherwise use env defaults
      SCANNER_IMAGE="${{ github.event_name == 'workflow_dispatch' && github.event.inputs.SCANNER_IMAGE || env.SCANNER_IMAGE }}"
      GCP_PROJECT_ID="${{ github.event_name == 'workflow_dispatch' && github.event.inputs.GCP_PROJECT_ID || env.GCP_PROJECT_ID }}"
      ORGANIZATION_ID="${{ github.event_name == 'workflow_dispatch' && github.event.inputs.ORGANIZATION_ID || env.ORGANIZATION_ID }}"
      IMAGE_NAME="${{ github.event_name == 'workflow_dispatch' && github.event.inputs.IMAGE_NAME_TO_SCAN || env.IMAGE_NAME_TO_SCAN }}"
      IMAGE_TAG="${{ github.event_name == 'workflow_dispatch' && github.event.inputs.IMAGE_TAG || env.IMAGE_TAG }}"
      CONNECTOR_ID="${{ github.event_name == 'workflow_dispatch' && github.event.inputs.CONNECTOR_ID || env.CONNECTOR_ID }}"
      IGNORE_ERRORS="${{ github.event_name == 'workflow_dispatch' && github.event.inputs.IGNORE_SERVER_ERRORS || (env.IGNORE_SERVER_ERRORS == 'true') }}"

      # Variable to store exit code
      exit_code=0

      # Run docker and capture exit code using || trick
      docker run --rm \
            -v /var/run/docker.sock:/var/run/docker.sock \
            -v ${{ steps.auth.outputs.credentials_file_path }}:/gcp-creds.json \
            -e GOOGLE_APPLICATION_CREDENTIALS=/gcp-creds.json \
            -e GCP_PROJECT_ID="${GCP_PROJECT_ID}" \
            -e ORGANIZATION_ID="${ORGANIZATION_ID}" \
            -e IMAGE_NAME="${IMAGE_NAME}" \
            -e IMAGE_TAG="${IMAGE_TAG}" \
            -e CONNECTOR_ID="${CONNECTOR_ID}" \
            -e RUN_ID="${{ github.run_number }}" \
            "${SCANNER_IMAGE}" \
            || exit_code=$?

      echo "Docker run finished with exit code: $exit_code"

      if [ $exit_code -eq 0 ]; then
            echo "✅ Evaluation succeeded: Conformant image."
      elif [ $exit_code -eq 1 ]; then
            echo "❌ Scan failed: Non-conformant image (vulnerabilities found)."
            exit 1 # Fail the step
      else
            if [ "$IGNORE_ERRORS" = "true" ]; then
            echo "⚠️ Server/internal error occurred (Code: $exit_code), but IGNORE_SERVER_ERRORS=true. Proceeding."
            # Do nothing, step passes
            else
            echo "❌ Server/internal error occurred (Code: $exit_code) during evaluation. Set IGNORE_SERVER_ERRORS=true to override."
            exit 1 # Fail the step
            fi
      fi

Jenkins（シークレット）

サービスアカウントの秘密鍵（GCP_CREDENTIALS）を追加します。

追加フィールドについては、変数定義をご覧ください。

pipeline {
      agent any

      parameters {
            string(
                  name: 'IMAGE_NAME_TO_SCAN',
                  defaultValue: 'checkout-image',
                  description: 'The tag for your application image to be built (e.g., my-app:latest)'
            )
            string(
                  name: 'GCP_PROJECT_ID',
                  defaultValue: 'projectId',
                  description: 'GCP Project ID for authentication'
            )
            string(
                  name: 'AR_REPOSITORY',
                  defaultValue: 'images',
                  description: 'Artifact Registry repository name (e.g., app-repo)'
            )
            string(
                  name: 'ORGANIZATION_ID',
                  defaultValue: 'orgId',
                  description: 'Your GCP Organization ID'
            )
            string(
                  name: 'CONNECTOR_ID',
                  defaultValue: 'connectorId',
                  description: 'The ID for your pipeline connector'
            )
            string(
                  name: 'SCANNER_IMAGE',
                  defaultValue: 'us-central1-docker.pkg.dev/ci-plugin/ci-images/scc-artifactguard-scan-image:latest',
                  description: 'The full registry path for your PRE-BUILT scanner tool'
            )
            string(
                  name: 'IMAGE_TAG',
                  defaultValue: 'latest',
                  description: 'The Docker image version (of the app image)'
            )
            booleanParam(
                  name: 'IGNORE_SERVER_ERRORS',
                  defaultValue: false,
                  description: 'Ignore server errors'
            )
            string(
                  name: 'VERBOSITY',
                  defaultValue: 'HIGH',
                  description: 'Verbosity flag'
            )
      }

stages {
      // Stage 1: Check out the source code
      stage('Checkout') {
            steps {
            echo "Checking out source code..."
            checkout scm
            }
      }

      // Stage 2: Build application image
      stage('Build Application Image') {
            steps {
            echo "Building application image: ${params.IMAGE_NAME_TO_SCAN}:${params.IMAGE_TAG}"
            sh "docker build -t ${params.IMAGE_NAME_TO_SCAN}:${params.IMAGE_TAG} -f ./Dockerfile ."
            }
      }

      // Stage 3: Authenticate to Google Cloud and run scanner
      stage('Scan Image') {
            steps {
            script {
                  withCredentials([file(credentialsId: 'GCP_CREDENTIALS', variable: 'GCP_KEY_FILE')]) {
                        // Authenticate
                        sh "gcloud auth activate-service-account --key-file=\"$GCP_KEY_FILE\""
                        sh 'gcloud auth list'
                        sh 'gcloud auth configure-docker gcr.io --quiet'
                        sh 'gcloud auth configure-docker us-central1-docker.pkg.dev --quiet'

                        // Run scanner container
                        def exitCode = sh(
                        script: """
                              echo "📦 Running scanner container from image: ${params.SCANNER_IMAGE}"

                              docker run --rm \\
                                    -v /var/run/docker.sock:/var/run/docker.sock \\
                                    -v "$GCP_KEY_FILE":/tmp/scc-key.json \\
                                    -e GCLOUD_KEY_PATH=/tmp/scc-key.json \\
                                    -e GCP_PROJECT_ID="${params.GCP_PROJECT_ID}" \\
                                    -e ORGANIZATION_ID="${params.ORGANIZATION_ID}" \\
                                    -e IMAGE_NAME="${params.IMAGE_NAME_TO_SCAN}" \\
                                    -e IMAGE_TAG="${params.IMAGE_TAG}" \\
                                    -e CONNECTOR_ID="${params.CONNECTOR_ID}" \\
                                    -e BUILD_TAG="${env.JOB_NAME}" \\
                                    -e BUILD_ID="${env.BUILD_NUMBER}" \\
                                    "${params.SCANNER_IMAGE}"
                        """,
                        returnStatus: true
                        )

                        if (exitCode == 0) {
                        echo "✅ Evaluation succeeded: Conformant image."
                        } else if (exitCode == 1) {
                        error("❌ Scan failed: Non-conformant image (vulnerabilities found).")
                        } else {
                        if (params.IGNORE_SERVER_ERRORS) {
                              echo "⚠️ Server/internal error occurred, but IGNORE_SERVER_ERRORS=true. Proceeding with pipeline."
                        } else {
                              error("❌ Server/internal error occurred during evaluation. Set IGNORE_SERVER_ERRORS=true to override.")
                        }
                        }
                  }
            }
            }
      }

      // Stage 4: Push Application Image
      stage('Push Application Image') {
            steps {
            script {
                  def localImage = "${params.IMAGE_NAME_TO_SCAN}:${params.IMAGE_TAG}"
                  def remoteTag = "us-central1-docker.pkg.dev/${params.GCP_PROJECT_ID}/${params.AR_REPOSITORY}/${params.IMAGE_NAME_TO_SCAN}:${params.IMAGE_TAG}"

                  echo "Tagging local image ${localImage} as ${remoteTag}"
                  sh "docker tag ${localImage} ${remoteTag}"

                  echo "Pushing ${remoteTag} to Artifact Registry..."
                  sh "docker push ${remoteTag}"
            }
            }
      }
}

変数の定義

このセクションでは、パイプライン統合テンプレートで使用される変数フィールドについて説明します。

IMAGE_NAME_TO_SCAN（必須）

ビルドするアプリケーションイメージのタグを指定します。

GCP_PROJECT_ID（必須）

認証と構成に使用される Google Cloud プロジェクト ID を指定します。

AR_REPOSITORY（省略可）

ビルドが成功した場合に、パイプラインがイメージを公開する Artifact Registry リポジトリの名前を指定します。

ORGANIZATION_ID（必須）

Google Cloud 組織 ID。

CONNECTOR_ID（必須）

使用するパイプラインのコネクタ ID を指定します。

SCANNER_IMAGE（必須）

事前構築済みのスキャナイメージは、コードを分析し、ビルド中にポリシーに照らしてイメージを評価することで脆弱性を特定し、CI/CD パイプラインが合格か不合格かを判断するための適合性結果を生成します。

イメージの詳細: us-central1-docker.pkg.dev/ci-plugin/ci-images/scc-artifactguard-scan-image:latest

VERBOSITY（省略可）

スキャナは、スキャン出力に表示される詳細レベルを制御するオプションの VERBOSITY フラグをサポートしています。スキャナの出力は、詳細レベルと適合性結果（合格または不合格）によって異なります。
詳細度フラグは LOW または HIGH に設定できます。指定しない場合のデフォルトは LOW です。

詳細設定を低にする（簡潔）

ArtifactGuard 準拠: 合格

ポリシー名の詳細。
重大度別の CVE の合計数のみを提供します。

ArtifactGuard Conformance: Fail

失敗の理由の詳細。
失敗の原因となった特定の CVE のみを一覧表示します。
重大度別に分類された CVE の概要数を提供します。

読み上げの詳細設定を高にする

検出されたすべての脆弱性の包括的なリストを提供します。

ArtifactGuard 準拠: 合格

ポリシーで検出されたすべての CVE のリストを提供します。
重大度別に分類された CVE の合計数を提供します。
検出されたすべての脆弱性の包括的なリストを提供します。

ArtifactGuard Conformance: Fail

失敗の理由が含まれます。
失敗の原因となった CVE を一覧表示します。
ポリシーで検出されたすべての CVE のリストを提供します。
重大度別に分類された CVE の合計数を提供します。
検出されたすべての脆弱性の包括的なリストを提供します。

IGNORE_SERVER_ERRORS（省略可）

オプションのブール値フラグ。true の場合、サーバーエラーが発生してもパイプラインは続行されます。デフォルトは false です。

評価を開始する

ビルドプロセス中に、Docker ベースの戦略は、事前定義されたポリシーに対してイメージを評価します。脆弱性スキャンロジックは us-central1-docker.pkg.dev/ci-plugin/ci-images/scc-artifactguard-scan-image:latest イメージに含まれています。

CI/CD パイプラインで脆弱性スキャンを開始するには、次のコマンドを実行します。

docker run --rm \
    -v /var/run/docker.sock:/var/run/docker.sock \
    -v ${{ steps.auth.outputs.credentials_file_path }}:/gcp-creds.json \
    -e GOOGLE_APPLICATION_CREDENTIALS=/gcp-creds.json \
    -e GCP_PROJECT_ID="${GCP_PROJECT_ID}" \
    -e ORGANIZATION_ID="${ORGANIZATION_ID}" \
    -e IMAGE_NAME="${IMAGE_NAME}" \
    -e IMAGE_TAG="${IMAGE_TAG}" \
    -e CONNECTOR_ID="${CONNECTOR_ID}" \
    -e RUN_ID="${{ github.run_number }}" \
    "${SCANNER_IMAGE}" \
    || exit_code=$?

CI/CD 統合により、Docker コンテナの終了コードが Jenkins または GitHub Actions ランタイムに伝播され、パイプラインの合格または不合格の状態が決定されます。

トラブルシューティング

このセクションでは、一般的なエラーとその解決方法について説明します。

CreateConnector の失敗

フィールド	必須/省略可	制約
`name`	必須	形式: 正規表現 [a-zA-Z0-9\\-\\s_]+$ に一致する必要があります。次のいずれか 1 つ以上に一致します。文字（大文字または小文字）数値ハイフン - 空白文字（\s）アンダースコア _ 最大文字数: 64 文字。
`pipeline_type`	必須	次のいずれかの列挙型値を指定する必要があります。 `JENKINS_PIPELINE` `GITHUB_ACTIONS` `GOOGLE_CLOUD_BUILD`
`description`	省略可	256 文字以内にしてください。
`display_name`	省略可	256 文字以内にしてください。

その他のエラー

次の表に、一般的なエラーとその解決方法を示します。

エラーメッセージ	原因	対応/解決策
リソースに対する権限 `artifactscanguard.connectors.create` が拒否されました	ユーザーまたはサービスアカウントに、リソース（プロジェクト、フォルダ、組織）に対する `artifactscanguard.connectors.create` IAM 権限がありません。	呼び出し元に `artifactscanguard.connectors.create` 権限を含む IAM ロールを付与します。
`status.ErrFailedPrecondition`	Google Cloud コンソールでサービスが有効になっていると表示されていても、オンボーディングが進行中の場合があります。	サポートチームに問題を報告します。
`status.ErrInvalidArgument`	フィールドの検証エラー	`CreateConnector` リクエストが指定された制約を満たしていることを確認します。

CI/CD 統合を構成する コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。

スキャナの機能

対象となる役割と責任

主な用語と概念

大まかなワークフロー

始める前に

コネクタを作成

コンソール

gcloud CLI

コネクタを更新する

コンソール

gcloud CLI

コネクタの一覧表示

コネクタの説明を取得する

コネクタ ポリシーの関連付けを更新する

コネクタを削除する

コンソール

gcloud CLI

評価を実行する

シークレットの構成

パイプライン統合テンプレート

Cloud Build

GitHub Actions（シークレット）

GitHub Actions（WIF）

Jenkins（シークレット）

変数の定義

詳細設定を低にする（簡潔）

読み上げの詳細設定を高にする

評価を開始する

トラブルシューティング

CreateConnector の失敗

その他のエラー

CI/CD 統合を構成する

コネクタポリシーの関連付けを更新する