Azure DevOps コネクタの作成

Azure DevOps(ADO)コネクターは、Azure DevOpsをソースコード管理(SCM)プラットフォームとして使用する組織向けのエージェント型コードセキュリティの推奨オンボーディングパスです。 シンプルなフローで Azure DevOps 組織に接続し、その組織のリポジトリをオンボードできます。 リポジトリをオンボードした後は、オンボードされたリポジトリのリモート オンデマンド エージェント スキャンをトリガーできます。

前提条件

コネクターを成功裏に認可または再認可するには、以下のすべての権限が必要です:

  • Microsoft Entra ID で少なくともセキュリティ管理者ロールを持つ、Microsoft Defender ポータルへのアクセス権
  • 接続対象の各 Azure DevOps 組織におけるプロジェクト コレクション管理者のロール (組織の設定>セキュリティ>権限)。
  • 各Azure DevOps組織(組織設定ユーザー)における>または基本 + テスト プランのアクセス レベルです。 ステークホルダー のアクセスレベルは不十分です。

Microsoft Defender Codeアプリもテナント内でプロビジョニングされている必要があります。 以下の条件が満たされている場合のみ、プロビジョニングスクリプトをスキップできます:

  • 御社はMicrosoft 365 E5ライセンスを持っています。 アプリはMDASHのオンボーディング時に自動的にプロビジョニングされます。
  • Azure DevOps組織のテナントはDefenderのテナントと同じです。

そうでなければ、Azure DevOpsコネクタを作成する前にプロビジョニングスクリプトを実行してください。 詳細については、Microsoft Defender Code script for Azure DevOps connector をご覧ください。

Note

同じAzure DevOps組織がすでにAzureポータルのAzure DevOpsコネクタで接続されていて、Defenderポータル経由で接続したい場合は、まずAzureポータルコネクタを切断してください。

AzureポータルのAzure DevOpsコネクタが切断されると、そのコネクタに関連付けられたMicrosoft Defender for DevOpsセキュリティ機能は利用できなくなります。 影響を受ける機能に関する情報は、「 サポートおよび前提条件」をご覧ください。

手順 1: テナントを準備する

Azure DevOpsコネクタ作成フローにアクセスする前に、テナント内でCloud Securityを準備しておく必要があります。

Defender テナントで Cloud Security が既にアクティブ化されている場合、アクションは必要ありません。 「テナントの準備」オプションは表示されず、直接コネクタの作成に進めます。

テナントが Defender ポータルで Cloud Security を使用していない場合:

  1. クラウド セキュリティ>Overview に移動します。
  2. テナントを準備する を選択します。
  3. テナントの準備状況を確認する。

手順 2: コネクタ ウィザードを開く

Defender ポータルで、MDASH イニシアチブ>設定に移動します。 MDASH イニシアティブへのアクセスの詳細については、「 エントリ ポイント」を参照してください。

  • [エージェント型コード スキャン管理] で [ソース コード環境] の横にある [別のものを追加] を選択してから Azure DevOps を選択します。Azure DevOpsコネクター フローにリダイレクトされます。

  • 必要に応じて、コネクタ名を入力します。 空白のままにすると、既定の名前が自動的に割り当てられます。

  • 次へを選択します。

手順 3: アクセスとアクセス許可を構成する

コネクタは、次の 2 つのアクセス許可レベルを公開します。

  • 読み取り — 既定で選択されており、削除できません。 Defender for DevOpsがAzure DevOpsリポジトリをスキャンし、変更を加えずにセキュリティ上の問題を特定できるようにします。
  • 書き込み — 既定で選択され、省略可能です。 プルリクエストの作成など、書き込みアクセスが本質的に必要となる限られたAzure DevOps操作にのみ必要です。

読み取り権限

読み取りアクセスには、次のものが含まれます。

  • ソース コードとリポジトリのメタデータ
  • パイプラインとサービス接続
  • 接続された組織やプロジェクト間でのセキュリティ関連シグナル

書き込みアクセス（任意）

書き込みアクセスにより、Defender for DevOpsはリポジトリでアクションを実行し、結果を開発者ワークフローに統合できます。 このアクセスには、次の機能が含まれます。

  • AI生成の修正を含むプルリクエストを作成してください
  • リメディエーションフローの一環としてリポジトリの内容やメタデータを更新する

Note

書き込みアクセスは任意であり、Defender が情報を作成、更新、または Azure DevOps リポジトリに書き戻す必要がある場合にのみ必要です。 セキュリティ スキャンと検出のシナリオには、読み取りアクセスで十分です。

アクセス許可の選択を確認し、[ 次へ] を選択します。

ステップ4: 承認と構成

DevOpsセキュリティアプリにAzure DevOpsリソースへのアクセス権限を与え、オンボーディングする組織を選択します。

  1. Entra IDを認証するを選択します。
  2. サインインダイアログで、ターゲットとなるAzure DevOps組織にProject Collection Administratorがあるアカウントを選択します。
  3. 承認が成功すると、ウィザードはそのアカウントで発見されたすべてのAzure DevOps組織と、それぞれのプロジェクト数を表示します。
  4. 導入したい組織を選択し、次へを選びます。

Note

発見した組織の一部を選択できます。 選択されていない組織は無視され、後でコネクターを編集することで追加できます。

手順 5: 確認してアクティブ化する

[ 確認と終了] ページには、フローの概要が表示されます。

  • コネクタの表示名
  • 導入中のAzure DevOps組織一覧(プロジェクト数付き)
  • アクセスおよび権限の範囲(読み取り および選択された場合は 書き込み)

[ アクティブ化] を 選択してコネクタをアクティブにします。

Azure DevOpsコネクタを有効化すると、オンボーディングされたリポジトリに対してオンデマンドのagentic スキャンを最大1時間以内に実行できるようになります。

  • 最終更新: