GitHub Advanced Security で URI ロケーションを含む結果のサポートを拡張し、コンテナーおよび動的スキャンツールからの検出を幅広くカバーできるようにします。
GitHub pull requestが Azure Boards の作業項目に接続される方法も改善し、pull requestのマージ時に作業項目の状態を最新に保ちやすくしました。
詳細についてはリリースノートをご覧ください。
Azure DevOps 拡張機能は製品の機能とワークフローを改善しますが、高い権限スコープを持つ拡張機能はさまざまなリスクを引き起こす可能性があります。
新機能として、各組織の管理者ページおよび Visual Studio Marketplace のインストールページでこれらのスコープをフラグ付けし、管理者が判断しやすくしました。未公開の拡張機能やパイプラインデコレーターにもフラグが付与され、管理者の注意喚起と適切な対応が可能になりました。
詳細についてはドキュメントページをご覧ください。
今まで、Advanced Security はアラートの場所として URI が含まれている SARIF ファイルを拒否していました。コンテナー スキャン ツールや動的アプリケーション スキャン ツールでこの問題が発生することが多くありました。Advanced Security ではこれらのツールからの検出結果を条件付きで受け入れて表示できるようになりました。
この機能を有効にするには、パイプライン変数 advancedsecurity.publish.allowmissingpartialfingerprints を設定します。
trigger: none
variables:
advancedsecurity.publish.allowmissingpartialfingerprints: true
jobs:
- job: "AdvancedSecurityPublish"
displayName: "🛡 Publish ZAP SARIF"
steps:
- task: AdvancedSecurity-Publish@1
displayName: Publish to ZAP SARIF to Advanced Security
inputs:
SarifsInputDirectory: $(Build.SourcesDirectory)/sarifs/GitHub pull requests を Azure Boards の作業項目へのリンク機能のサポートを拡張しました！以前は Fixes AB#{ID} キーワードのみがサポートされていましたが、この更新により {State または Category} AB#{ID} を使用して、マージ時に作業項目を希望の状態に自動的に遷移させることができます。
pull requestの説明に状態名（例：Validate AB#1234）が含まれている場合、リンクされた作業項目の状態が更新されます。状態名が認識されない場合は、状態カテゴリ（例：Resolved）に一致するかを確認し、一致すればそのカテゴリ内の最初の利用可能な状態に遷移します。
一致する状態やカテゴリが見つからない場合、キーワードは無視され、作業項目の状態は更新されません。
最後に、Fixes AB#{ID} キーワードは引き続き既定で "Closed" 状態に遷移します。
注意事項
ここで議論されている機能は今後二～三週にわたって順次展開されます。
Azure DevOpsサービスを体験してみてください。
これらの機能についてどう思っているかお聞きしたいと思います。 フィードバックメニューを使用して問題を報告するか、提案を提出してください。
アドバイスや回答を必要とする質問がある場合、Stack Overflowコミュニティで聞いてください。 質問がある場合はStack Overflowコミュニティでお尋ねください。
ありがとうございました。
Dan Hellem