安全なSDLCおよびAzure DevOps向けSonarQubeのトレーニングコース

1. 静的コード解析の概念と適用範囲

• 定義：静的解析、SAST、ルールの分類および重大度
• 安全なSDLCにおける静的解析の役割およびリスク対応範囲
• SonarQubeがセキュリティ制御や開発者ワークフローにどう貢献するか

2. SonarQube概要：機能とアーキテクチャ

• コアサービス、データベース、およびスキャナーの仕組み
• 品質ゲート、品質プロファイル、および最適な利用方法
• セキュリティ関連機能：脆弱性検出、SASTルール、CWEマッピング

3. SonarQubeサーバーのUI操作と活用法

• プロジェクト一覧、問題点の表示、ルール設定、測定結果、ガバナンス機能の見方
• 問題詳細ページの解釈や修正指針の把握方法
• レポート生成およびエクスポート手順

4. ビルドツールとの連携におけるSonarScanner設定

• Maven、Gradle、Ant、MSBuild向けの設定方法
• プロパティ指定や除外設定、複数モジュールプロジェクトでのベストプラクティス
• 正確な解析のためのテストデータ生成およびカバレッジレポート作成法

5. Azure DevOpsとの統合

• Azure DevOps内でのSonarQubeサービス接続設定方法
• Azure Pipelinesへのタスク追加およびプルリクエスト装飾機能の活用法
• Azure ReposをSonarQubeにインポートし、自動解析を実現する手順

6. プロジェクト設定およびサードパーティ解析ツールの利用法

• JavaやAngular向けに品質プロファイルをカスタマイズする方法
• サードパーティ製解析ツールの連携およびプラグインライフサイクル管理法
• 解析パラメータの定義と継承設定方法

7. 役割分担・責任範囲と安全な開発手法の見直し

• 開発者、レビュー担当者、DevOpsチーム、セキュリティ責任者の役割定義
• CI/CDプロセスにおける役割・責務マトリクスの作成法
• 既存の安全な開発手法に対する見直しおよび改善提案法

8. 高度活用：ルール追加・調整、セキュリティ機能強化

• SonarQubeのWeb APIを用いたカスタムルールの作成と管理法
• 品質ゲートの微調整および自動的なポリシー適用方法
• SonarQubeサーバーのセキュリティ強化やアクセス制御のベストプラクティス

9. 実践的な演習（応用編）

• 演習A：5つのJavaリポジトリ（Quarkus対応分を含む）に対してSonarScannerを設定し、解析結果を確認する。
• 演習B：Angularフロントエンド1件にて静的解析の設定と調査結果の解釈を行う。
• 演習C：Azure DevOpsパイプライン全体へSonarQubeを統合し、プルリクエスト装飾機能も有効化する。

10. テスト・トラブルシューティングおよびレポートの解釈法

• 適切なテストデータ作成やコードカバレッジ測定戦略
• スキャナー不具合、パイプラインエラー、権限問題の一般的な解決法
• SonarQubeレポートを技術・非技術スタッフ向けに読み取り・説明する手法

11. ベストプラクティスと拡張戦略

• 適切なルールセット選定および段階的導入計画の立て方
• 開発者、レビュー担当者、ビルドパイプライン向けのワークフロー改善提案
• 企業環境でSonarQubeを拡張活用するための今後の展開計画

まとめおよび今後の取り組み方向性