GitLab Security Essentials - ハンズオンラボ: ライセンスコンプライアンスの有効化と設定
推定所要時間: 15 分
目標
プロジェクトに新しい依存関係を追加するときは、依存関係のライセンスがプロジェクトに与える影響を慎重に検討する必要があります。ライセンス要件が満たされていることを確認するために、新しく検出されたライセンスに対して承認を必要とするポリシーを追加できます。
依存関係の脆弱性をスキャンするほかに、依存関係スキャナーは各依存関係が使用するライセンスも記録します。
ライセンスコンプライアンスレポートは、プロジェクトポリシーに準拠していないプロジェクトで検出されたすべてのライセンスのリストを生成します。
前提条件
ラボ 1 で作成した Security Labs プロジェクトをブラウザで開きます。
タブを閉じたかリンクを失った場合は、セルフペーストレーニングの場合はブラウザのタブを開いて URL に
https://gitlab.com/gitlab-learn-labsと入力すると、プロジェクトが履歴に表示されるはずです。このラボを開始する前に、CI/CD パイプラインで依存関係スキャンのテンプレートが有効になっていることを確認してください。確認するには、
.gitlab-ci.ymlファイルを確認します。includeの下にSecurity/Dependency-Scanning.gitlab-ci.ymlテンプレートが表示されているはずです。include: - template: Security/Dependency-Scanning.gitlab-ci.ymlライセンススキャンは依存関係スキャナーによって完了されます。このテンプレートはプロジェクトのライセンスコンプライアンスレポートを生成して表示するために必要です。
タスク A. ライセンスコンプライアンススキャン
Secure > Dependency list に移動します。
ライセンスをクリックするとライセンスとコンプライアンス要件の詳細を確認できます。
タスク B. ライセンスの承認と拒否
チームが MIT ライセンスを承認したと仮定します。MIT ライセンス以外のライセンスが依存関係に存在する場合は、マージリクエストを完了する前に承認が必要です。
Secure > Policies に移動します。
New policy ボタンをクリックします。
Merge request approval policy > Select policy をクリックします。
ポリシーの名前（例:
ScanApprovedPolicy）と説明を入力します。Policy status を Enabled に設定します。
Rules で、Select scan type ドロップダウンメニューを License Scan に設定します。マージリクエストのターゲットとして
all protected branchesとNo exceptionsが選択されていることを確認します。Status is ドロップダウンメニューを Newly Detected に設定します。
License is セクションの最初のドロップダウンを Except に設定します。
マルチセレクトドロップダウンを閉じるには、その外側をクリックしてください。
Select license types ドロップダウンで
MIT Licenseをクリックします。類似した名前のライセンスがいくつかあるため、正しいものを選択してください。Actions セクションで、個人ユーザーから 1 件の承認を要求します。承認ユーザーとして自分のユーザー名をクリックします。
Override project approval settings のチェックボックスを選択したままにして、Configure with a merge request をクリックします。
作成されたマージリクエストで Merge ボタンをクリックします。
ポリシーを作成すると、GitLab はポリシーを管理するための新しいプロジェクトを作成します。Merge をクリックした後、元のプロジェクトに戻る必要があります。
タスク C. パイプラインのライセンスコンプライアンスレポートを表示する
左サイドバーで Build > Pipelines を選択します。
ページ右上の New pipeline ボタンを選択します。
すべてのオプションをデフォルト値のままにして、New pipeline を選択します。
パイプラインを監視して、各ジョブが正常に完了するまで待ちます。
すべてのジョブが完了したら、ページを更新します。Licenses タブを選択します。
MIT License 以外のすべてのライセンスがポリシー違反として説明されていることを確認します。このレポートは、承認していないライセンスを含む可能性のある既存の依存関係にフラグを立てるのに役立ちます。
タスク D. 拒否されたライセンスを持つ依存関係を追加する MR を作成する
add-dnspython-dependencyという名前の新しいブランチを作成します。add-dnspython-dependencyブランチ（mainブランチではなく！）に新しい依存関係を追加するために、requirements.txtの末尾に新しい行としてdnspython==2.1.0をペーストします。Create merge request ボタンをクリックします。
すべてのフィールドをデフォルト値のままにして Create merge request をクリックします。
マージリクエストのパイプラインが完了するまで待ちます。
パイプラインが完了したら、ページを更新します。ライセンスコンプライアンススキャンが表示され、1 件の新しいライセンスが検出されます。
マージリクエストの概要に戻ります。
ライセンスコンプライアンスレポートには、プロジェクトポリシーに準拠しなくなったすべてのライセンスがリストされます。マージステータスが Requires 1 approval from policy と表示されることに注意してください。
マージリクエストのアクティビティに新しいコメントも追加され、ポリシー違反が検出されたことが示されます。
このマージリクエストは、
dnspythonが承認されたライセンスを使用していないため、追加の承認が必要になりました。レビュアーはマージを進める前にライセンスが問題ないかどうかを確認できます。
タスク E. ラボのポリシークリーンアップ
承認なしでブランチを main にマージできるようにするために、ポリシーを無効化するのがベストです。
Secure > Policies に移動します。
作成したポリシーをクリックします。Edit policy をクリックします。
Delete Policy をクリックします。
作成されたマージリクエストで Merge をクリックします。
ラボガイド完了
このラボ演習を完了しました。このコースの他のラボガイドを参照できます。
ご提案
GitLab Security Essentials ハンズオンガイドへの変更を提案される場合は、マージリクエストで提出してください。
5d840611)