Codex Security Cloud のセットアップ

Codex Security Cloud で接続済みの GitHub リポジトリの初回スキャンを実行し、検出事項を確認します。その後、新しいコミットの監視を有効にできます。

始める前に

Codex Security Cloud へのアクセス権があり、Codex cloud が設定済みのワークスペースを使用します。スキャン対象の GitHub リポジトリを接続する権限が必要です。クラウド環境はセットアップ中に作成できます。

プラグインを利用できない場合は、ワークスペースの管理者にアクセス権を確認してください。リポジトリが表示されない場合は、リポジトリ選択画面のアクセスを設定 を使って、 GitHub アプリの組織とリポジトリへのアクセス権を確認します。自分でアクセス権を付与できない場合は、 GitHub 管理者にリポジトリの追加を依頼してください。

1. プラグインをインストールして開く

1. Web 版またはデスクトップアプリの ChatGPT でプラグイン を開きます。
2. プラグインマーケットプレイスで Codex Security Cloud を検索します。
3. プラグインをインストールして有効にし、インストール済みのプラグイン一覧またはサイドバーから Security Cloud を開きます。

プラグインマーケットプレイスを開く

2. GitHub を接続する

ワークスペースで Codex cloud が設定済みであることを確認します。プラグインでスキャン を選択します。求められた場合は、GitHub に接続 を選択し、自分の GitHub アカウントでサインインします。スキャンを開始する各ユーザーには、個別の接続とリポジトリへのアクセス権が必要です。

Codex Security Cloud はワークスペース接続をサポートしていません。

3. リポジトリのスキャンを開始する

1. 新規スキャン でリポジトリを選択します。
2. 環境を確認します。自動 では、開始時に環境が作成されます。既存の環境を選ぶには、カスタマイズ を使用します。セットアップの詳細は、Codex cloud の環境を参照してください。
3. スキャン方法 で単発スキャン を選択します。
4. 作成 を選択します。

スキャン で対象のスキャンを開き、進行状況を確認します。完了するまで待ってから、報告されたステータスと対象を確認し、そのうえで検出事項を解釈します。スキャンが失敗またはキャンセルされた場合は、得られた出力を未完了のレビューとして扱ってください。

4. 検出結果と利用可能な修正を確認する

検出結果 を開きます。未解決の検出結果 では、ステータスが新規、 トリアージ済み、対応中 の検出結果を確認できます。一覧を検索するか、フィルター を使って結果を絞り込みます。重大度とステータス のグラフには、条件に一致する検出結果の概要が表示されます。

スキャンまたは検出事項 から検出事項を開きます。影響を受けるコードとリビジョン、攻撃者がたどり得る経路、検証の証拠を確認します。問題が該当するかを判断する前に、未解決の前提条件を確認してください。検出事項が報告されなかったスキャンでも、リポジトリに脆弱性がないことが証明されるわけではありません。

リポジトリの検出事項に Codex で修正 が表示されている場合、選択すると Codex の会話が開始され、現在のコードに照らして検出事項を確認し、修正を実装して、関連するテストを実行します。その会話で、変更内容とテストの証拠をレビューしてください。

コミット監視で得られた検出事項には、代わりにパッチ案が提示される場合があります。 ドラフトのプルリクエストを作成 を選択する前に、そのパッチをレビューしてください。これらの操作は結果が異なるため、検出事項に表示されるワークフローに従ってください。

5. 新しいコミットを監視する

初回スキャンの確認が済んだら、新しいコミットが追加されるたびに変更を監視できます。

1. スキャン を選択し、リポジトリを選んで環境を確認します。
2. スキャン方法 で継続的スキャン を選択します。Codex Security はリポジトリのデフォルトブランチをスキャンします。
3. コミット履歴のスキャン開始時点 を選択します。対象期間を長くすると、より多くのコンテキストを得られますが、初回のスキャンにかかる時間も長くなります。
4. 必要に応じて、脅威モデルの対象範囲に関する指針を追加します。
5. 作成 を選択します。

監視を調整するには、リポジトリ を開いてリポジトリを選択し、 監視設定 を開きます。クラウド環境の変更、確認する履歴の日数の選択、監視の一時停止や有効化ができます。 保存 を選択して変更を適用します。

スキャンの所有者、編集権限を付与されたユーザー、Codex Security 管理者は、監視設定を変更できます。監視の一時停止を含む変更は、変更を行ったユーザーだけでなく、ワークスペース内のそのリポジトリの共有設定に適用されます。編集できない場合は、スキャンの所有者または Codex Security 管理者に依頼してください。

監視設定 で生成された脅威モデルを確認し、コードだけでは確認できないデプロイやセキュリティの背景情報を追加して更新します。 脅威モデルを改善するを参照してください。

ビルド、検証、結果の解釈に関する質問については、 Cloud FAQをご覧ください。GitHub のプルリクエストをレビューするには、 Security Reviewを使用してください。