注
2022 年 12 月 31 日より、Microsoft セキュリティ コード分析 (MSCA) 拡張機能は廃止されます。 MSCA は、Microsoft Security DevOps の Azure DevOps 拡張機能に置き換えられます。 構成に関する記事の手順に従い、拡張機能のインストールと構成を行ってください。
Microsoft セキュリティ コード分析を開始するための前提条件:
- 次のセクションで詳しく説明するように、対象となる Microsoft Unified サポート オファリング。
- Azure DevOps 組織。
- Azure DevOps 組織に拡張機能をインストールするためのアクセス許可。
- クラウドでホストされる Azure DevOps パイプラインに同期できるソース コード。
Microsoft セキュリティ コード分析拡張機能のオンボーディング
Microsoft セキュリティ コード分析拡張機能の購入に関心がありますか?
次のいずれかのサポート プランがある場合は、テクニカル アカウント マネージャーに問い合わせて、既存の時間を購入または交換して拡張機能にアクセスします。
- 統合サポートの高度なレベル
- 統合サポート パフォーマンス レベル
- 開発者向けの Premier サポート
- パートナー向けの Premier サポート
- エンタープライズ向けプレミアサポート
上記のいずれかのサポート契約がない場合は、いずれかのパートナーから拡張機能を購入できます。
次の手順:
上記の条件を満たしている場合は、以下の一覧のパートナーに連絡して、Microsoft セキュリティ コード分析拡張機能を購入してください。 それ以外の場合は、 Microsoft セキュリティ コード分析サポートにお問い合わせください。
パートナー：
- ゾーン – 連絡先の詳細: cloudsupport@zones.com
- ワーテル – 連絡先の詳細: info@wortell.nl
- Logicalis – 連絡先の詳細: logicalisleads@us.logicalis.com
パートナーになる
Microsoft セキュリティ コード分析チームは、Premier Support for Partners 契約でパートナーをオンボードすることを検討しています。 パートナーは、Azure DevOps のお客様が拡張機能を購入したいが、Microsoft とエンタープライズ サポート契約を結んでいないお客様に販売することで、より安全に開発できるように支援します。 関心のあるパートナーは 、ここで登録できます。
Microsoft セキュリティ コード分析拡張機能のインストール
- 拡張機能が Azure DevOps 組織と共有されたら、Azure DevOps 組織ページに移動します。 このようなページの URL の例は、
https://dev.azure.com/contosoです。 - 名前の横にある右上隅にあるショッピング バッグ アイコンを選択し、[ 拡張機能の管理] を選択します。
- [ 共有] を選択します。
- Microsoft セキュリティ コード分析拡張機能を選択し、[ インストール] を選択します。
- ドロップダウン リストから、拡張機能をインストールする Azure DevOps 組織を選択します。
- [インストール] を選択します。 インストールが完了したら、拡張機能の使用を開始できます。
注
拡張機能をインストールするためのアクセス権がない場合でも、インストール手順に進みます。 インストール プロセス中に、Azure DevOps 組織管理者にアクセス権を要求できます。
拡張機能をインストールすると、セキュリティで保護された開発ビルド タスクが表示され、Azure Pipelines に追加できるようになります。
Azure DevOps パイプラインへの特定のビルド タスクの追加
- Azure DevOps 組織から、チーム プロジェクトを開きます。
- パイプライン>ビルドを選択します。
- 拡張機能のビルド タスクを追加するパイプラインを選択します。
- 新しいパイプライン: [ 新規 ] を選択し、詳細な手順に従って新しいパイプラインを作成します。
- パイプラインの編集: 既存のパイプラインを選択し、[ 編集] を選択してパイプラインの編集を開始します。
- +選択し、[タスクの追加] ウィンドウに移動します。
- リストから、または検索ボックスを使用して、追加するビルド タスクを見つけます。 [] を選択し、[] を追加します。
- タスクに必要なパラメーターを指定します。
- 新しいビルドをキューに追加します。
注
ファイルとフォルダーのパスは、ソース リポジトリのルートに対する相対パスです。 出力ファイルとフォルダーをパラメーターとして指定すると、ビルド エージェントで定義した共通の場所に置き換えられます。
ヒント
- ビルド後に分析を実行するには、ビルドのビルド成果物の発行ステップの後に Microsoft Security Code Analysis ビルド タスクを配置します。 こうすることで、静的分析ツールを実行する前に、ビルドを完了して結果をポストできます。
- セキュリティで保護された開発ビルド タスクの場合は、常 に [エラー時に続行] を選択します。 1 つのツールが失敗した場合でも、他のツールを実行できます。 ツール間に相互依存関係はありません。
- Microsoft セキュリティ コード分析のビルド タスクは、ツールの正常な実行に失敗した場合にのみ失敗します。 ただし、ツールがコード内の問題を特定した場合でも成功します。 分析後のビルド タスクを使用すると、ツールがコード内の問題を特定したときに失敗するようにビルドを構成できます。
- 一部の Azure DevOps ビルド タスクは、リリース パイプラインを介して実行するとサポートされません。 具体的には、Azure DevOps では、リリース パイプライン内から成果物を発行するタスクはサポートされていません。
- パラメーターとして指定できる Azure DevOps Team Build の定義済み変数の一覧については、「 Azure DevOps ビルド変数」を参照してください。
次のステップ
ビルド タスクの構成の詳細については、構成ガイドの または YAML 構成ガイド を参照してください。
拡張機能と提供されているツールに関するその他の質問がある場合は、 FAQ ページをご覧ください。