コンプライアンスフレームワーク

コンプライアンスフレームワークは、プロジェクトに特定のコンプライアンス要件があるか、追加の監視が必要であることを識別するためのラベルとして作成できます。

Ultimateプランでは、コンプライアンスフレームワークは、適用先のプロジェクトに対してオプションでコンプライアンスコンプライアンスパイプライン構成とセキュリティポリシーを適用できます。

コンプライアンスフレームワークはトップレベルグループに作成されます。プロジェクトが既存のトップレベルグループの外部に移動された場合、そのフレームワークは削除されます。

各プロジェクトに最大20個のコンプライアンスフレームワークを適用できます。

クリック可能なデモについては、Custom Compliance frameworksを参照してください。

前提要件

• コンプライアンスフレームワークを作成、編集、削除するには、次のいずれかの権限がユーザーに必要です:
  • トップレベルグループのオーナーロール。
  • admin_compliance_framework カスタム権限を持つカスタムロールが割り当てられていること。
• プロジェクトとの間でコンプライアンスフレームワークを追加または削除するには、プロジェクトが所属するグループにコンプライアンスフレームワークが必要です。

コンプライアンスフレームワークを作成、編集、または削除する

コンプライアンスフレームワークレポートまたはコンプライアンスプロジェクトレポートのいずれかを使用して、コンプライアンスフレームワークを作成、編集、または削除できます。

コンプライアンスフレームワークレポートの使用に関する詳細については、以下を参照してください:

• 新規コンプライアンスフレームワークを作成。
• コンプライアンスフレームワークを編集する。
• コンプライアンスフレームワークを削除する。

コンプライアンスプロジェクトレポートの使用に関する詳細については、以下を参照してください:

• 新規コンプライアンスフレームワークを作成。
• コンプライアンスフレームワークを編集する。
• コンプライアンスフレームワークを削除する。サブグループとプロジェクトは、トップレベルグループに作成されたすべてのコンプライアンスフレームワークにアクセスできます。ただし、サブグループまたはプロジェクトを使用して、コンプライアンスフレームワークを作成、編集、または削除することはできません。プロジェクトオーナーは、プロジェクトに適用するフレームワークを選択できます。

プロジェクトにコンプライアンスフレームワークを適用する

複数のコンプライアンスフレームワークを1つのプロジェクトに適用できますが、個人用ネームスペースのプロジェクトにはコンプライアンスフレームワークを適用できません。

コンプライアンスフレームワークをプロジェクトに適用するには、コンプライアンスプロジェクトレポートを介してコンプライアンスフレームワークを適用します。

GraphQL APIを使用して、1つまたは複数のコンプライアンスフレームワークをプロジェクトに適用できます。

GraphQLを使用してサブグループにコンプライアンスフレームワークを作成する場合、ユーザーが適切な権限を持っている場合、フレームワークはルート祖先に作成されます。GitLab UIは、この動作を抑制するために読み取り専用ビューを表示します。

コンプライアンスフレームワークをコンプライアンスフレームワークを介してプロジェクトに適用するには:

1. 左側のサイドバーで、検索または移動先を選択して、グループを見つけます。
2. 左側のサイドバーで、セキュリティ > コンプライアンスセンターを選択します。
3. ページで、プロジェクトタブを選択します。
4. コンプライアンスフレームワークにカーソルを合わせ、Edit Framework（フレームワークを編集）タブを選択します。
5. プロジェクトセクションを選択します。
6. リストからプロジェクトを選択します。
7. Update Framework（フレームワークを更新）を選択します。

デフォルトコンプライアンスフレームワーク

グループオーナーは、デフォルトコンプライアンスフレームワークを設定できます。デフォルトのフレームワークは、そのグループで作成されたすべての新しいプロジェクトとインポートされたプロジェクトに適用されます。既存のプロジェクトに適用されるフレームワークには影響しません。デフォルトのフレームワークは削除できません。

デフォルトに設定されているコンプライアンスフレームワークには、defaultラベルが付いています。

コンプライアンスセンターを使用して、デフォルトを設定および削除する

コンプライアンスプロジェクトレポートからデフォルトとして設定する（またはデフォルトを削除する）には:

1. 左側のサイドバーで、検索または移動先を選択して、グループを見つけます。
2. 左側のサイドバーで、セキュリティ > コンプライアンスセンターを選択します。
3. ページで、プロジェクトタブを選択します。
4. コンプライアンスフレームワークにカーソルを合わせ、Edit Framework（フレームワークを編集）タブを選択します。
5. デフォルトとして設定を選択します。
6. 変更を保存を選択します。

コンプライアンスフレームワークレポートからデフォルトとして設定する（またはデフォルトを削除する）には:

1. 左側のサイドバーで、検索または移動先を選択して、グループを見つけます。
2. 左側のサイドバーで、セキュリティ > コンプライアンスセンターを選択します。
3. ページで、フレームワークタブを選択します。
4. コンプライアンスフレームワークにカーソルを合わせ、Edit Framework（フレームワークを編集）タブを選択します。
5. デフォルトとして設定を選択します。
6. 変更を保存を選択します。

プロジェクトからコンプライアンスフレームワークを削除する

グループ内の1つまたは複数のプロジェクトからコンプライアンスフレームワークを削除するには、コンプライアンスプロジェクトレポートを使用してコンプライアンスフレームワークを削除します。

コンプライアンスフレームワークをインポートおよびエクスポートする

既存のコンプライアンスフレームワークをJSONファイルとしてダウンロードし、JSONテンプレートから新しいフレームワークをアップロードします。

JSONテンプレートのライブラリは、Compliance Adherence Templatesプロジェクトから入手できます。これらのテンプレートを使用して、定義済みのコンプライアンスフレームワークを迅速に採用します。

コンプライアンスフレームワークをJSONファイルとしてエクスポートする

この機能を使用すると、コンプライアンスフレームワークを共有およびバックアップできます。

コンプライアンスセンターからコンプライアンスフレームワークをエクスポートするには:

1. 左側のサイドバーで、検索または移動先を選択して、グループを見つけます。
2. 左側のサイドバーで、セキュリティ > コンプライアンスセンターを選択します。
3. ページで、フレームワークタブを選択します。
4. エクスポートするコンプライアンスフレームワークを見つけます。
5. 縦方向の省略記号（ ）を選択し、編集を選択します。
6. Export as JSON file（JSONファイルとしてエクスポート）を選択します。

JSONファイルがローカルシステムにダウンロードされます。

JSONファイルからコンプライアンスフレームワークをインポートする

この機能を使用すると、共有またはバックアップされたコンプライアンスフレームワークを使用できます。JSONファイルの名前は、既存のコンプライアンスフレームワークと同じであってはなりません。

JSONテンプレートを使用してコンプライアンスフレームワークをインポートするには:

1. 左側のサイドバーで、検索または移動先を選択して、グループを見つけます。
2. 左側のサイドバーで、セキュリティ > コンプライアンスセンターを選択します。
3. ページで、フレームワークタブを選択します。
4. 新規フレームワークを選択します。
5. フレームワークのインポートを選択します。
6. 表示されるダイアログで、ローカルシステムからJSONファイルを選択します。

インポートが成功すると、新しいコンプライアンスフレームワークがリストに表示されます。エラーは修正のために表示されます。

JSONテンプレートの構造とスキーマ

コンプライアンスフレームワークのJSONテンプレートは、フレームワークのメタデータ、要求、および関連するコントロールを定義する特定のスキーマ構造に従います。この構造を理解すると、組織固有のコンプライアンスのニーズに合わせて、カスタムテンプレートを作成したり、既存のテンプレートを変更したりするのに役立ちます。

フレームワークのプロパティ

各JSONテンプレートには、次のトップレベルグループプロパティが含まれています:

要求構造

requirements配列内の各要求には、以下が含まれます:

コントロール構造

controls配列内の各コントロールは、特定のチェックを定義します:

式オブジェクト

expressionオブジェクトは、コントロールの評価方法を定義します:

JSONテンプレート構造の例

完全な構造を示す簡単な例を次に示します:

{
  "name": "Example Compliance Framework",
  "description": "Example framework demonstrating JSON structure",
  "color": "#1f75cb",
  "requirements": [
    {
      "name": "Security Scanning Requirement",
      "description": "Ensure security scanning is enabled for all projects",
      "controls": [
        {
          "name": "scanner_sast_running",
          "control_type": "internal",
          "expression": {
            "field": "scanner_sast_running",
            "operator": "=",
            "value": true
          }
        },
        {
          "name": "minimum_approvals_required_2",
          "control_type": "internal",
          "expression": {
            "field": "minimum_approvals_required",
            "operator": ">=",
            "value": 2
          }
        }
      ]
    }
  ]
}

要件

GitLab Ultimateでは、コンプライアンスフレームワークの特定のrequirements（要求）を定義できます。要求は1つまたは複数のコントロールで構成され、フレームワークが割り当てられているプロジェクトの設定または動作に対するチェックです。各要求には、最大5つのコントロールがあります。

各コントロールには、スケジュールされたスキャンまたはトリガーされたスキャン中にGitLabがプロジェクトのコンプライアンス遵守を評価するために使用するロジックが含まれています。コンプライアンス遵守の追跡方法の詳細については、コンプライアンス状況レポートを参照してください。

GitLabコンプライアンスコントロールまたは外部コントロールをフレームワーク要求に使用できます。

GitLabコンプライアンスコントロール

GitLabコンプライアンスコントロールは、GitLabコンプライアンスフレームワークで使用できます。コントロールは、コンプライアンスフレームワークに割り当てられているプロジェクトの設定または動作に対するチェックです。

GitLabコンプライアンスコントロールを組み合わせて、コンプライアンス標準を満たすのに役立ちます。

外部コントロール

外部コントロールとは、外部コントロールまたは要件のステータスを要求する外部システムへのAPIコールです。

サードパーティツールにデータを送信する外部コントロールを作成できます。

コンプライアンススキャンの実行時に、GitLabは通知を送信します。ユーザーまたは自動化されたワークフローは、GitLabの外部からコントロールのステータスを更新できます。

このインテグレーションにより、ServiceNowなどのサードパーティ製ワークフローツール、または選択したカスタムツールとインテグレーションできます。サードパーティツールは、関連付けられたステータスで応答します。このステータスは、コンプライアンスステータスレポートに表示されます。

プロジェクトごとに外部コントロールを構成できます。外部コントロールはプロジェクト間で共有されません。外部コントロールが6時間以上保留状態のままの場合、ステータスチェックは失敗します。

外部コントロールを追加する

フレームワークの作成時または編集時に外部コントロールを追加するには:

1. 左側のサイドバーで、検索または移動先を選択して、グループを見つけます。
2. 左側のサイドバーで、セキュリティ > コンプライアンスセンターを選択します。
3. ページで、フレームワークタブを選択します。
4. 新規フレームワークを選択するか、既存のものを編集します。
5. 要求セクションで、新しい要件を選択します。
6. 外部コントロールの追加を選択します。
7. フィールドで、外部コントロール名、外部URL、HMAC shared secret（共有シークレット）を編集します。
8. オプション。Ping enabled（Pingを有効にする） 切替をオフにして、コンプライアンススキャン中にGitLabが外部サービスに通知を送信するかどうかを制御します。
9. フレームワークへの変更を保存を選択して、要件を保存します。

Pingが有効な設定

Ping enabled（Pingを有効にする） の設定は、GitLabが外部システムから外部コントロール・ステータスの更新を12時間ごとにリクエストするかどうかを制御します。

• 有効（デフォルト）: GitLabは、HTTPリクエストを外部サービスのURLに12時間ごとに自動的に送信し、応答に基づいて外部コントロール・ステータスを更新します。
• 無効: GitLabは外部サービスに通知を送信せず、外部コントロールはコンプライアンスフレームワークのUIに無効バッジを表示します。外部コントロールのステータスをリクエストするには、外部コントロールAPIを手動で使用する必要があります。

外部コントロール・ライフサイクル

外部コントロールにはasynchronous（非同期）ワークフローがあります。コンプライアンススキャンは、ペイロードを外部サービスに送信するたびに発行します。

%%{init: { "fontFamily": "GitLab Sans" }}%%
sequenceDiagram
    accTitle: Workflow for external compliance controls
    accDescr: GitLab sends a requirement payload to an external service and receives a control response for compliance validation.

    GitLab->>+External service: Requirement payload
    External service-->>-GitLab: Control response
    Note over External service,GitLab: Response includes SHA at HEAD

ペイロードを受信すると、外部サービスは必要なプロセスを実行できます。次に、外部サービスはREST APIを使用して、応答をマージリクエストにポストバックできます。

外部コントロールには、3つのステータスのいずれかを設定できます。

GitLabの外部で何かが変更された場合は、APIを使用して外部コントロールのステータスを設定できます。最初にペイロードが送信されるのを待つ必要はありません。

要件を追加

フレームワークの作成時または編集時に要件を追加するには:

1. 左側のサイドバーで、検索または移動先を選択して、グループを見つけます。
2. 左側のサイドバーで、セキュリティ > コンプライアンスセンターを選択します。
3. ページで、フレームワークタブを選択します。
4. 新規フレームワークを選択するか、既存のものを編集します。
5. 要求セクションで、新しい要件を選択します。
6. ダイアログで、名前と説明を追加します。
7. GitLabコントロールを追加するを選択して、コントロールを追加します。
8. コントロール・ドロップダウン・リストでコントロールを検索して選択します。
9. フレームワークへの変更を保存を選択して、要件を保存します。

要件の編集

フレームワークの作成時または編集時に要件を編集するには:

1. 左側のサイドバーで、検索または移動先を選択して、グループを見つけます。
2. 左側のサイドバーで、セキュリティ > コンプライアンスセンターを選択します。
3. ページで、フレームワークタブを選択します。
4. 新規フレームワークを選択するか、既存のものを編集します。
5. 要求セクションで、アクション > 編集を選択します。
6. ダイアログで、名前と説明を編集します。
7. GitLabコントロールを追加するを選択して、コントロールを追加します。
8. コントロール・ドロップダウン・リストでコントロールを検索して選択します。
9. コントロールを削除するには、 を選択します。
10. フレームワークへの変更を保存を選択して、要件を保存します。

トラブルシューティング

コンプライアンスフレームワークを操作しているときに、次の問題が発生する可能性があります。

エラー: Unable to determine the correct upload URL

JSONテンプレートと同じ名前のコンプライアンスフレームワークがすでに存在する場合、コンプライアンスフレームワークのインポート中にこのエラーが発生します。