vulnerability-scanning-example

これは、Trivy を GitHub Actions や CircleCI を使用して導入する一例です。

GitHub Actions

Trivy の実行結果を GitHub code scanning に連携します。 ※Private Repository で実行するためには Enterprise 契約と GitHub Advanced Security license が必要 です。

CircleCI

Trivy の実行結果を Slack に通知します。

Environment variables

Slack 通知のために次の環境変数を CircleCI の Project Settings から設定する必要があります。

• SLACK_ACCESS_TOKEN (required)
• SLACK_DEFAULT_CHANNEL (required)

Pull Request の自動作成のために次の環境変数を CircleCI の Project Settings から設定する必要があります。

• GITHUB_ACCESS_TOKEN (required)
  • machine account の personal access token がお勧めです。