Skip to main content

​
GitLab について

GitLab コネクタは、GitLab.com グループ または セルフマネージド インスタンスから、プロジェクトのメタデータ、グループメンバーシップ、ブランチ保護、CI/CD 構成、および（プランとトークンが許可する場合は）監査関連のイベントを読み取ります。データは Iru Compliance にアーティファクトとして表示され、アクションやコントロールにマッピングできます。Iru は GitLab の PRIVATE-TOKEN ヘッダーを使用して認証情報を送信します。通常は、選択したグループやプロジェクト全体を読み取れるよう 個人用アクセストークン を使用します。

​
仕組み

GitLab の REST API は PRIVATE-TOKEN ヘッダーで認証します:
個人用アクセストークンは複数のプロジェクトやグループをカバーできるため、通常は最適な選択肢です。プロジェクトスコープやグループスコープのトークンも機能しますが、Iru が収集できるエビデンスの範囲が狭まる場合があります。 ドキュメント: 個人用アクセストークン、REST 認証、トークンのスコープ。

​
前提条件

  • コンプライアンスの対象となる グループとプロジェクト への GitLab アクセス権。
  • メンバーシップや監査関連の読み取りが必要な場合は、グループの 所有者 または Maintainer（正確な要件はコントロールによって異なります）。
  • セルフマネージド GitLab の場合は、Iru が（gitlab.com だけでなく）インスタンスの ベース URL を対象としていることを確認します。
スコープの出発点 セキュリティチームがより詳細な読み取りを必要とする場合にのみ、スコープを追加してください。

​
GitLab を Iru に接続する

Compliance でソースを接続する前に、このタブの手順を完了してください。
1

GitLab にサインインする

GitLab インスタンス（gitlab.com またはセルフマネージドの URL）を開き、Iru が読み取るネームスペースの 個人用アクセストークン を作成できるユーザーでサインインします。
2

プロフィールを開く

右上の アバター を選択し、Edit profile（バージョンによっては Preferences）を選択します。
3

Access Tokens を開く

プロフィールの左サイドバーで Access Tokens（User settings → Access Tokens の場合もあります）を選択します。
4

新しいトークンを追加する

Add new token（または Create personal access token）を選択します。
5

名前、有効期限、スコープを設定する

名前（例: Iru Compliance）を入力します。有効期限 を設定します（GitLab では必須です。最大期間は管理者によって制限されている場合があります）。この記事の 前提条件 に記載されている 読み取り スコープを選択します。
6

トークンを作成してコピーする

トークンを作成し、すぐにコピー します。GitLab はトークンを一度だけ表示します。トークンは通常 glpat- で始まります。
Iru Compliance タブに進んでください。

​
トラブルシューティング

Iru サイトの ポップアップブロッカー の設定を確認して、もう一度お試しください。
トークン文字列全体を確認し、有効期限をチェックして、アカウントが対象グループに引き続きアクセスできることを確認してください。
スコープを追加するか、プロジェクト/グループのロールを昇格してください。トークンでは、アカウントがアクセスできないエンドポイントを読み取ることはできません。
連携がインスタンスのホスト名を指していること、およびネットワーク経路で Iru からのアウトバウンド呼び出しが許可されていることを確認してください。
一部の監査 API には Premium/Ultimate の機能が必要です。GitLab のティアと、フレームワークで想定されるエビデンスを比較してください。

​
考慮事項

トークンは定期的に失効: 早めにローテーションして更新…

トークンはスケジュールに従って失効します。早めにローテーションしてコネクタを更新してください。

GitLab はレート制限を適用。大規模なグループでは…

GitLab は レート制限 を適用します。大規模なグループでは、初回の同期に時間がかかる場合があります。

Iru は API で公開されている構成を読み取り…

Iru は API で公開されている構成を読み取ります。パイプラインやリポジトリの設定を書き換えることはありません。

​
関連記事

Sources の管理

すべての Compliance ソースを参照、管理します。

Compliance を使い始める

フレームワーク、アクション、アーティファクト。

Iru の概要

Endpoint、Compliance、Identity がどのように連携するか。

Artifacts の管理

ソースやアクションから得たエビデンスをアップロード、確認、整理します。