日本語

プライベートパッケージの脆弱性スキャン - Maven

Aikido にプライベート Maven パッケージを含むリポジトリの依存関係をスキャンさせる場合、Aikido もプライベートパッケージにアクセスできる必要があります。これを行うために、Aikido でプライベート Maven の settings.xml 設定を提供できるようになりました。

前提条件

settings.xml を準備する

プライベート Maven パッケージの場合、Aikido は settings.xml ファイルを使用してプライベートレジストリに認証します。

プライベートレジストリ上のプライベートパッケージにアクセスするための settings.xml の例:

<settings xmlns="http://maven.apache.org/SETTINGS/1.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://maven.apache.org/SETTINGS/1.0.0 https://maven.apache.org/xsd/settings-1.0.0.xsd">
  <servers>
    <server>
      <id>your-repository-id</id>
      <username>your-username</username> <!-- Optional, you can leave this as a dummy value -->
      <password>ACCESS_TOKEN</password>
    </server>
  </servers>
  <profiles>
    <profile>
      <id>private-registry</id>
      <repositories>
        <repository>
          <id>your-repository-id</id>
          <url>https://...</url>
        </repository>
      </repositories>
    </profile>
  </profiles>
</settings>

次の <profiles> セクションにリポジトリ URL を含めます。スキャンには次のものだけが必要です <servers> 認証情報ですが、Aikido の認証情報テストはあなたのものなしで実行されます pom.xml また接続をテストするために URL が必要です。同じものを使用してください <id> で <server>を、プロファイル内とあなたの pom.xml.

pom.xml ファイルに次が含まれていることを確認してください リリース または スナップショット 有効です

    <repositories>
        <repository>
            <id>your-repository-id</id>
            <url>https://...</url>
            <releases>
                <enabled>true</enabled>
            </releases>
            <snapshots>
                <enabled>true</enabled>
            </snapshots>
        </repository>
    </repositories>

Aikido での構成

前提条件が満たされたら、以下の手順に従って、依存関係を更新する際に Aikido がプライベート Maven レジストリで認証するように設定できます:

  1. 次へ移動します： AutoFix → 設定 Aikido アプリ内で、次をクリックします レジストリを接続 を プライベートレジストリ接続 セクション。
Private Registry Connection section in the AutoFix settings with the Connect Registry button
  1. 選択します Maven.
Select Package Manager dialog with Maven highlighted
  1. settings.xml の内容を貼り付け、次をクリックします レジストリを接続.
Connect Private Maven Registry dialog with a settings.xml pasted into the text field
  1. Aikido が認証情報をテストし、結果を Maven 接続の横に表示します。
  2. 次回以降のスキャンでは、この settings.xml が Aikido によって使用されます。

AWS CodeArtifact

AWS CodeArtifact 接続を設定するには、次を参照してください AWS CodeArtifact - プライベートパッケージ.

GitHub Packages

GitHub Packages の Maven レジストリでは、次の read:packages スコープ。きめ細かいパーソナルアクセストークンはこのレジストリではサポートされていません。