#cicd

SonarQubeは、Javaコードを静的解析して、バグや脆弱性の候補を自動で見つけるツール 記事の例では、ハードコードされたAPI key を検出できたのが大きなポイント JenkinsなどのCI/CDに組み込むと、毎回自動でチェックできて抜け漏れが減る Quality Gate を設定すると、問題のあるコードはマージ前に止められる ただし万能ではなく、false positive（誤検知）や security hotspot の手動レビューも大事 個人的には、SonarQubeの価値は「検出」よりも「開発の流れに安全を組み込めること」にあると思う 元記事は、かなり現場感のある話から始まります。 あるチームがセキュリティ監査を受けたところ、支払い処理モジュールに重大な脆弱性が見つかりました。 しかも、ユニットテストも統合テストも通っていたし、コードレビューも一見きれいだった。 それなのに、監査で見つかったのはユーティリティクラスに隠れていたハードコードされたAPI keyだった、というわけです。 ここが非常に重要です。

Terraformをローカル実行からGitHub Actions実行へ移した話 Pull Request時に `fmt`・`validate`・`plan` を回すことで、変更を先にレビューできる Applyは手動承認つきにして、勝手に本番変更されないようにしている 認証は Workload Identity Federation を使い、サービスアカウントJSONキーを置かない Terraform state は Google Cloud Storage に置き、チーム運用しやすい形にしている この記事は、GCP上のTerraform運用を「ひとりでローカルから叩く形」から、「GitHub Actionsで安全に回す形」に進化させる実践例です。 元記事の著者は、以前のラボではローカル端末でこんな流れだったと書いています。 `terraform plan` `terraform apply` 学習用途ならこれで十分です。 でも、少し実務っぽくなると話は別です。インフラ変更は、アプリコード以上に事故が怖い。うっかりVPCを消したり、