開始する前にすべてが整っていることを確認してから、手順に従って、組織をエージェント コード セキュリティ、コード名 MDASH に接続し、コードでスキャンの実行を開始します。
前提条件のチェックリスト
このセットアップを完了するには、次のものが必要です。
Microsoft Defender ポータルでエージェント型コード セキュリティのオンボーディング プロセスを完了するには、Microsoft Entra ID の グローバル管理者 または セキュリティ管理者 ロールが必要です。
オンボード中に組織に代わってコード名 MDASH の使用条件に同意する権限。
コード名 MDASH 専用の Microsoft Foundry リソースを作成するAzure サブスクリプションとリソース グループ。 詳細については、「Microsoft Foundry への接続」を参照してください。
必要なモデルをデプロイするためのアクセス許可。 モデルの一覧については、「 必要なモデルのデプロイ」を参照してください。
Foundryリソースのネットワークが 「選択されたネットワークおよびプライベートエンドポイント」に設定されている場合、コードネームMDASHへのアクセスを許可するにはアクションが必要です。 詳細については、「Codename MDASH に Microsoft Foundry リソースへのアクセスを許可する」を参照してください。
以下のAIスキャン経路のうち少なくとも1つ:
- オプション1 — リモートスキャン(推奨)。 詳細は「Create a GitHub connector」または「Create Azure DevOps connector」をご覧ください。
- オプション 2 — Defender CLI。 詳細については、Defender CLI のセットアップを参照してください。
送信トラフィックが制限されている場合は、必要なドメインを許可します。 詳細については、「 許可リスト」を参照してください。
露出管理とイニシアティブを開くアクセス許可を持つMicrosoft Defender ポータルにアクセスします。
ファウンドリープロジェクトのエンドポイント。 MDASHはFoundry接続に対して2つの認証方法をサポートしています。 利用可能な認証方法の詳細については、「 認証方法」を参照してください。
Defender 統合 RBAC のアクセス許可が割り当てられていること。 必要なアクセス許可とその割り当て方法については、「Defender RBAC を使用してユーザーにアクセス許可を割り当てる」を参照してください。
Defender RBAC を使用してユーザーにアクセス許可を割り当てる
Microsoft Defenderの統一ロールベースアクセス制御(RBAC)を使用して、ユーザーやグループにスキャン実行、結果のアップロード、調査結果のレビューや管理に必要なエージェントコードのセキュリティ権限を付与します。 このステップでは、Microsoft Defenderでこれらの特定の機能に対してカスタムの機能範囲付きロールを作成し、アクセスが必要なユーザーにその役割を割り当てます。
Microsoft Defender ポータルにサインインします。
ナビゲーション ウィンドウで、[ System>Permissions] を選択します。
[Microsoft Defender XDRで、[ロール] >[カスタム ロールの作成] を選択します。
[ 基本 ] タブで、ロールの名前と説明を入力します。
ユーザーがDefenderポータルで曝露管理体験を開く必要がある場合:
- 「権限を選択する」で「セキュリティの姿勢」を展開し、「カスタム権限を選択する」を選択してください。
- 「姿勢管理」の中で「曝露管理(読み取り)」を選択してください。 この権限により、コードネームMDASHを超えた曝露管理のインサイトへのアクセスが可能になります。 詳細については、 セキュリティ・ポスチュール – ポスチャー管理をご覧ください。
- を選択してを適用します。
[ アクセス許可の選択] で、[ Agentic code security] を展開します。
AIスキャンセキュリティで必要な権限レベルを設定してください(詳細は「セキュリティ体制 – AIコードスキャン」をご覧ください。
- スキャンの実行 (管理) — オンデマンドまたは CLI スキャンをトリガーするために必要です。
- 結果のアップロード (管理) — CLI スキャン結果をDefenderにアップロードするために必要です。
- 結果のスキャン (管理) — 結果のトリアージ、無視、またはその他の管理に必要です。
- スキャン結果 (読み取り) — Defender ポータルとイニシアティブで結果を表示するために必要です。 この許可だけではエクスポージャーマネジメント体験へのアクセスは認められません。
アクセス許可を確認し、[ 適用] を選択します。
[ 次へ ] を選択して、[ ユーザーとデータ ソースの割り当て] に移動します。 このロールを受け取るユーザーを割り当てます。
[ 割り当ての追加] を選択し、ユーザー、グループ、データ ソースを構成します。
[データ ソース] で、Microsoft Defender for Cloud と Microsoft Security Exposure Management の両方を選択されたままにします。
[ 追加] を選択し、割り当てを確認して、[ 次へ] を選択します。
ロールの詳細を確認し、[ 送信] を選択します。
詳細については、「Microsoft Defender統合 RBAC を使用してカスタム ロールを作成する」を参照してください。
入口点
Microsoft Defenderポータルの以下の場所からオンボーディングの流れを開始してください:
- 露出管理>概要: エージェント コードセキュリティを選択します。
- 露出管理>イニシアティブ: Codename MDASH - Agentic コード スキャナー イニシアチブを選択します。
手順 1: 使用条件に同意する
続行する前に、使用条件を確認して同意します。
- オンボーディング フロー内の利用規約を確認してください。
- チェック ボックスをオンにして、同意を確認します。
- [保存] を選択するには、使用条件に同意する必要があります。
手順 2: Microsoft Foundry リソースを接続する
Microsoft Foundry リソースを作成し、必要なモデルをデプロイする手順については、「Connect Microsoft Foundry」を参照してください。
手順 3: Defender ポータルのオンボーディング
Microsoft Foundry リソースに接続し、接続を検証するために必要な詳細を指定します。
Project エンドポイント (例:
https://your-foundry.azure.com) と API キーを入力します。認証方法を選択してください: キーレス (推奨)またはAPIキー。 詳細については、「認証方法」を参照してください。
接続を確認するために「Validate」を選択してください。
[ 保存] を 選択してオンボードを完了します。 保存を選択する前に、リソースを正しく検証する必要があります。
注: MDASHはデフォルトで 標準 スキャン構成を使用しています。 オンボーディング時にデフォルト設定を更新したり、後で変更したりできます
手順 4: AI スキャンを設定する
リモート スキャン (推奨)
Note
GitHubやAzure DevOpsコネクタは、コードネームMDASHのオンボーディング前後に作成できます。
GitHubやAzure DevOpsコネクタを作成し、SCM組織を接続し、ローカルインストールせずにDefenderポータルを通じてオンデマンドスキャンをトリガーします。
SCMコネクタを作成するには、Microsoft Defenderポータルへのアクセス権とコネクタ管理権限が必要であり、Microsoft Entra IDでグローバル管理者またはセキュリティ管理者の役割を持っている必要があります。 また、接続したいGitHub組織の組織所有者、Azure DevOps組織のProjectコレクション管理者の役割も持っている必要があります。
- GitHub組織をつなぐためのGitHubコネクタを作成するか、Azure DevOps組織をつなぐためのAzure DevOpsコネクタを作成することもできます。
- オンボードされたリポジトリのオンデマンド エージェント スキャンをトリガーします。
Defender CLI
Defender CLI を使用してエージェント コード セキュリティをオンボードするには、Microsoft Entra IDのグローバル管理者またはセキュリティ管理者ロールが必要です。
ステップ5:セキュリティ調査結果の確認
スキャンが完了した後、Microsoft Defenderポータルでセキュリティ結果を確認できます。
詳細については、 Codename MDASH - Agentic コード スキャナー イニシアチブに関するページを参照してください。