Skip to main content

​
Arnica について

Iru は、Arnica の Web プラットフォームの 管理者 → API で作成した Bearer API キーを使用して、Arnica の REST API から検出結果、リポジトリのインベントリ、セキュリティポリシー、開発者リスクのデータを読み取ります。キーは作成時にスコープが固定されます。コントロールに必要な読み取りスコープのみを付与し、書き込みスコープは一切付与しないでください。

​
仕組み

Arnica の API は https://api.app.arnica.io からバージョン v1 で提供されています。キーは Arnica ダッシュボードでスコープごとに作成されるため、スコープが不足しているキーは部分的な結果ではなくエラーを返します。Arnica は、認証および認可のすべての失敗に対して 401 ではなく 403 を返します。無効なキー、取り消されたキー、必要なスコープが不足しているキーは、すべて同じように見えます。Iru が保存するのは API キーのみで、設定するホストやサブドメインはありません。 公式の参考資料: Arnica ドキュメント、API リファレンス (Swagger)。

​
前提条件

  • Arnica 管理者のアクセス権。キーを作成するために 管理者 → API を開けるのは管理者のみです。
  • 対象とするリポジトリを決めておきます。Arnica ではリポジトリを除外でき、除外されたリポジトリからはエビデンスが生成されません。Iru は、リポジトリに検出結果がないのか、一度もスキャンされていないのかを区別できません。

​
Arnica を Iru に接続する

Compliance でソースを接続する前に、このタブを完了してください。
1

Arnica にサインインする

admin ロールを持つアカウントで https://app.arnica.io の Arnica にサインインします。
2

管理者の API を開く

管理者 → API に移動します。
3

新しい API キーを作成する

Create a New API Key を選択します。
4

キーに名前を付ける

後でこのキーを識別できるように、Iru Compliance などの名前を入力します。
5

読み取り専用スコープを選択する

コンプライアンスプログラムをカバーする読み取り専用スコープ（risks:read、products:read、inventory:read、policies:read、status-checks:read）を選択します。コントロールが開発者グループのメンバーシップを対象とする場合は、groups:read を追加します。risks:write やその他の書き込みスコープは付与しないでください。
6

作成してトークンをコピーする

作成 を選択し、Arnica に表示されている間にトークンの値を一度だけコピーします。Iru に Bearer トークンとして貼り付けるまで、安全に保管してください。
Iru Compliance タブに進みます。

​
トラブルシューティング

Iru サイトのポップアップブロッカーの設定を確認してから、もう一度お試しください。
Arnica は認証の失敗に対して 401 ではなく 403 を返すため、これには無効なキー、期限切れのキー、取り消されたキーのほか、スコープの不足も含まれます。キーを再生成し、文字列全体を貼り付けたことを確認して、スコープの一覧を再確認してください。
キーに risks:read または inventory:read がないか、それらのリポジトリが Arnica で除外されています。除外されたリポジトリは Iru からは見えません。
Arnica はオンデマンドではなく、スケジュールに従ってポーリングされます。調査を始める前に、収集サイクルが一巡するまでお待ちください。

​
関連記事

Sources の管理

すべての Compliance ソースを参照・管理します。

Compliance の利用を開始する

フレームワーク、アクション、アーティファクト。

Iru の概要

Endpoint、Compliance、Identity がどのように連携するか。

Artifacts の管理

ソースやアクションから得たエビデンスをアップロード、確認、整理します。