分はじめに第3回,第4回の「WhiteSource+Jiraの連携でDevSecOpsをやってみよう(前編⁠)⁠,(⁠後編⁠)⁠」では,WhiteSourceのコンポジション解析の実行方法について,ツールの設定を交えて紹介しました。今回は,WhiteSourceを使ってオープンソースソフトウェア(OSS)をどのように管理することができるか,運用面にフォーカスを当てて説明します。最初にWhiteSourceについてご存じない方のために,製品概要を簡単に紹介します。WhiteSourceはイスラエル製のコンポジション解析ツールで,開発プロジェクトで利用しているOSSコンポーネントを検出し,脆弱性,バグなどの品質,およびライセンスを解析するツールです。ソフトウェア開発におけるOSSの利用は,2000年頃から右肩上がりに増加しており,現在では商用ソフトウェアの60~80%はOSSで構成されていると言われています。OSSは無償で提供されており,システム要件に合わせて独自の改変を行うこともできるため,OSSを活用して最新の技術を使った効率的な開発が実現でき,総合的なコスト削減を図ることができます。ソースコードが公開されていることから,脆弱性を突いた攻撃が後を絶たないため,OSSの品質,脆弱性に対して,バージョンアップやパッチ当てなどの対応が必要となります。OSSには多様なライセンス形態があり,ライセンスの理解不足から,意図せずライセンス規約に違反するような利用をしてしまうケースもあります。このようなコンプライアンス上の問題は,企業の信頼性を大きく損なうことにつながります。WhiteSourceは,企業がOSSとうまく付き合っていくために次のような機能と特長を備えています。Agent)を使って簡単に解析を実行できます4.問題の早期検出CIツールなどと連携することにより,脆弱性やライセンスのコンプライアンス違反を早期に検出できます。開発プロセスの早いタイミングで問題に対応できるため,改修コストを抑えられます製品の構成WhiteSourceは組織>製品>プロジェクトの3階層構成となっており,組織ごとにマルチテナント方式で解析結果を管理できます。親会社でWhiteSourceのサブスクリプションライセンスを購入して,複数のグループ会社ごとに組織を作成し,組織ごとにユーザを管理することができます。製品の解析結果は,組織に登録されているユーザだけが閲覧できるしくみになっています。ポリシー設定OSSの利用にあたり,最初に利用可能なOSSライセンスなどのポリシーを明確化しておくことが肝要です。WhiteSourceでは,組織,製品,プロジェクトのそれぞれに対して,ポリシーを設定することができます。ポリシー設定は組織>製品>プロジェクトの順にオーバーライドされる仕様なので,組織としての大まかなポリシー設定を行ったうえで,製品やプロジェクト固有のポリシーを設定できます。ポリシーに合致するOSSを検出した際,アラートとして通知したり(図1⁠)⁠,JiraなどのIssue管理ツールに対してIssueを起票したりできます(図2,図3⁠)⁠。前編はほとんどWhiteSourceのおさらいになってしまいましたが,後編では,どのようにしてOSSの脆弱性やコンプライアンス違反を調査・管理していくのかを紹介します。日本だけでなく,アジア圏でもアトラシアン製品販売のトップエキスパートであるリックソフトのWebサイトでは,各アトラシアン製品の体験版を提供しているほか,アトラシアン製品専用のコミュニティも運営しています。OSS著者プロフィール古守花織(こもりかおり)リックソフト株式会社アトラシアン製品のプリセールスを担当。アトラシアン認定プロフェッショナル(ACP)の資格取得のための勉強をしつつ,愛犬と一緒に登山を楽しんでます。動物占いは「虎」ですが,そこまで肉は食べません。2019」を開催しました。DAY1・DAY2の様子を注目セッションとともにお伝えします。LINEのエンジニア3名がイベントに先駆けて見どころを紹介します。コードの安全性・安定性を高める開発サイクル~テスト管理の効率を上げ,脆弱性診断を自動で行う~本連載では,連載「業務を改善する情報共有の仕掛け」を受けつつ,安全性・安定性を加えた開発サイクルについて考えていきます。若者世代から圧倒的な人気を誇るライブ配信&動画投稿コミュニティアプリ「MixChannel」(ミクチャ)の裏側(レコメンドシステムやサーバサイド開発など)について解説していきます。その他の連載CSS3アニメーションでつくるインターフェイス表現CSS3によるアニメーション表現を紹介していきます。その中でも,幅広い読者に応用してもらえるだろうインターフェイスを主なお題とします。MySQL道普請便り本連載では,MySQLを使ったアプリ開発・運用に関するノウハウをご紹介していきます。RecipeUbuntuの強力なデスクトップ機能を活用するための,いろいろなレシピをお届けします。JavaScriptセキュリティの基礎知識JavaScriptに関するセキュリティ上の問題はどこで発生し,どうすれば防ぐことができるのか?について解説していきます。〜システムをきちんと運用するための基礎知識システムは「作って終わり」ではなく,運用の中でさまざまな問題が発生します。問題の発生に備えて事前にどのような対応をしておくべきなのか,問題発生時に何をしなければならないのか,ポイントを解説していきます。きたみりゅうじの聞かせて珍プレーソフトウェア開発の現場で体験したトホホな失敗,思わずうなる珍プレーをきたみりゅうじ氏が四コママンガで紹介。Linuxのメンテナンスの傍ら,Linuxやオープンソースソフトと日々を過ごす著者が,その魅力とつきあい方を,エッセイ風味でお届けします。PRESS特別編集部員,さわやか笑顔のスーパーハカーはまちちゃんとネット大好き14歳わかばちゃんが,毎号,読者の皆さんから寄せられたおたよりを紹介します。皆さんの日頃の悩みにも答えちゃいますよ。]メールでのお知らせメールで次の案内をお送りしております。メールの配信を希望する方は,利用したい項目をチェックしてメールアドレスを入力し,[登録]ボタンをクリックしてください。UPDATES[ほぼ週間に1回]新刊メールマガジン[ほぼ週間に1回]電脳会議の各号案内[ほぼ1ヵ月半に1回]※変更する場合や停止する場合は,登録情報変更ページをご覧ください。※登録いただいたメールアドレスには,そのお知らせ以外,配信いたしません。Ltd.ページ内容の全部あるいは一部を無断で利用することを禁止します。個別にライセンスが設定されている記事等はそのライセンスに従います。