コンプライアンスフレームワーク

プロジェクトに特定のコンプライアンスフレームワーク要件があるか、追加の監視が必要であることを識別するためのラベルであるコンプライアンスフレームワークを作成できます。

Ultimateプランでは、コンプライアンスフレームワークは、適用されるプロジェクトにコンプライアンスパイプライン設定とセキュリティポリシーを任意で適用できます。

コンプライアンスフレームワークはトップレベルグループで作成されます。プロジェクトが既存のトップレベルグループの外部に移動された場合、そのフレームワークは削除されます。

各プロジェクトに最大20個のコンプライアンスフレームワークを適用できます。

クリックしてデモを見るには、カスタムコンプライアンスフレームワークを参照してください。

前提条件

• コンプライアンスフレームワークを作成、編集、削除するには、ユーザーは次のいずれかの権限が必要です:
  • トップレベルグループに対するオーナーまたはセキュリティマネージャーのロール。
  • カスタムロールまたはadmin_compliance_frameworkカスタム権限が割り当てられていること。
• プロジェクトにコンプライアンスフレームワークを追加または削除するには、プロジェクトが属するグループにコンプライアンスフレームワークが必要です。

テンプレートからコンプライアンスフレームワークを作成する

一からコンプライアンスフレームワークをビルドする代わりに、事前に定義されたすぐに使える（OOTB）テンプレートから作成できます。テンプレートには、一般的なコンプライアンス標準に準拠した事前設定済みの要件とコントロールが含まれているため、手動設定なしで迅速に開始できます。

次のテンプレートが利用可能です:

UIを使用してテンプレートからフレームワークを作成

テンプレートからコンプライアンスフレームワークを作成するには:

1. 上部のバーで、検索または移動先を選択して、グループを見つけます。
2. 左のサイドバーで、セキュリティ > コンプライアンスセンターを選択します。
3. ページで、フレームワークタブを選択します。
4. 新規フレームワークを選択します。
5. テンプレートから作成を選択します。
6. 利用可能なテンプレートを参照し、要件とコントロールをプレビューするために1つを選択します。
7. （オプション）オプション。名前、説明、または色を上書きして、フレームワークをカスタマイズします。
8. （オプション）オプション。これをグループのデフォルトフレームワークにするには、デフォルトとして設定を選択します。
9. フレームワークの作成を選択します。

フレームワークは、テンプレートから自動入力されたすべての要件とコントロールで作成されます。その後、必要に応じてフレームワークを編集し、要件を追加、削除、または変更できます。

APIベースの作成については、テンプレートからコンプライアンスフレームワークを作成するを参照してください。

コンプライアンスフレームワークをインポート

この機能により、共有またはバックアップされたコンプライアンスフレームワークを使用できます。JSONファイルは、既存のコンプライアンスフレームワークと同じ名前であってはなりません。

JSONテンプレートのライブラリは、コンプライアンス遵守テンプレートプロジェクトから入手できます。これらの事前定義されたテンプレートは、完全なフレームワークを提供します。手動設定は不要で、迅速に開始できます。

事前定義されたコンプライアンスフレームワークをインポート

事前にビルドされたコンプライアンスフレームワークをインポートするには:

1. コンプライアンス遵守テンプレートプロジェクトに移動します。
2. 利用可能なフレームワークテンプレートを参照し、ご使用のフレームワーク用のJSONファイルをダウンロードします。
3. 上部のバーで、検索または移動先を選択して、グループを見つけます。
4. 左のサイドバーで、セキュリティ > コンプライアンスセンターを選択します。
5. ページで、フレームワークタブを選択します。
6. 新規フレームワークを選択します。
7. フレームワークのインポートを選択します。
8. 表示されるダイアログで、ローカルシステムからJSONファイルを選択します。
9. インポートが成功すると、新しいコンプライアンスフレームワークがリストに表示されます。

フレームワークをプロジェクトに適用する準備ができました。プロジェクトにコンプライアンスフレームワークを適用するを参照してください。

JSONファイルからコンプライアンスフレームワークをインポート

JSONテンプレートを使用してコンプライアンスフレームワークをインポートするには:

1. 上部のバーで、検索または移動先を選択して、グループを見つけます。
2. 左のサイドバーで、セキュリティ > コンプライアンスセンターを選択します。
3. ページで、フレームワークタブを選択します。
4. 新規フレームワークを選択します。
5. フレームワークのインポートを選択します。
6. 表示されるダイアログで、ローカルシステムからJSONファイルを選択します。

インポートが成功すると、新しいコンプライアンスフレームワークがリストに表示されます。エラーがあれば修正のために表示されます。

コンプライアンスフレームワークを作成、編集、または削除

コンプライアンスフレームワークレポートまたはコンプライアンスプロジェクトレポートのいずれかを使用して、コンプライアンスフレームワークを作成、編集、または削除できます。

コンプライアンスフレームワークレポートの使用方法の詳細については、以下を参照してください:

• 新しいコンプライアンスフレームワークを作成。
• コンプライアンスフレームワークを編集。
• コンプライアンスフレームワークを削除。

コンプライアンスプロジェクトレポートの使用方法の詳細については、以下を参照してください:

• 新しいコンプライアンスフレームワークを作成。
• コンプライアンスフレームワークを編集。
• コンプライアンスフレームワークを削除。サブグループおよびプロジェクトは、トップレベルグループで作成されたすべてのコンプライアンスフレームワークにアクセスできます。ただし、サブグループまたはプロジェクトを使用してコンプライアンスフレームワークを作成、編集、または削除することはできません。プロジェクトのオーナーは、プロジェクトに適用するフレームワークを選択できます。

プロジェクトにコンプライアンスフレームワークを適用

複数のコンプライアンスフレームワークをプロジェクトに適用できますが、個人のネームスペース内のプロジェクトにはコンプライアンスフレームワークを適用できません。

プロジェクトにコンプライアンスフレームワークを適用するには、コンプライアンスプロジェクトレポートを介してコンプライアンスフレームワークを適用します。

GraphQL APIを使用して、1つまたは複数のコンプライアンスフレームワークをプロジェクトに適用できます。

GraphQLでサブグループにコンプライアンスフレームワークを作成する場合、ユーザーが正しい権限を持っていると、フレームワークはルート祖先に作成されます。GitLab UIは、この動作を推奨しないために読み取り専用のビューを表示します。

コンプライアンスフレームワークを介してプロジェクトにコンプライアンスフレームワークを適用するには:

1. 上部のバーで、検索または移動先を選択して、グループを見つけます。
2. 左のサイドバーで、セキュリティ > コンプライアンスセンターを選択します。
3. ページで、プロジェクトタブを選択します。
4. コンプライアンスフレームワークにカーソルを合わせ、Edit Frameworkタブを選択します。
5. プロジェクトセクションを選択します。
6. リストからプロジェクトを選択します。
7. Update Frameworkを選択します。

デフォルトのコンプライアンスフレームワーク

グループのオーナーは、デフォルトのコンプライアンスフレームワークを設定できます。デフォルトフレームワークは、そのグループで作成されたすべての新規およびインポートされたプロジェクトに適用されます。既存のプロジェクトに適用されているフレームワークには影響しません。デフォルトフレームワークは削除できません。

デフォルトに設定されているコンプライアンスフレームワークには、defaultラベルが付いています。

コンプライアンスセンターを使用してデフォルトを設定および削除

コンプライアンスプロジェクトレポートからデフォルトとして設定（またはデフォルトを削除）するには:

1. 上部のバーで、検索または移動先を選択して、グループを見つけます。
2. 左のサイドバーで、セキュリティ > コンプライアンスセンターを選択します。
3. ページで、プロジェクトタブを選択します。
4. コンプライアンスフレームワークにカーソルを合わせ、Edit Frameworkタブを選択します。
5. デフォルトとして設定を選択します。
6. 変更を保存を選択します。

コンプライアンスフレームワークレポートからデフォルトとして設定（またはデフォルトを削除）するには:

1. 上部のバーで、検索または移動先を選択して、グループを見つけます。
2. 左のサイドバーで、セキュリティ > コンプライアンスセンターを選択します。
3. ページで、フレームワークタブを選択します。
4. コンプライアンスフレームワークにカーソルを合わせ、Edit Frameworkタブを選択します。
5. デフォルトとして設定を選択します。
6. 変更を保存を選択します。

プロジェクトからコンプライアンスフレームワークを削除

グループ内の1つまたは複数のプロジェクトからコンプライアンスフレームワークを削除するには、コンプライアンスプロジェクトレポートを介してコンプライアンスフレームワークを削除します。

コンプライアンスフレームワークをJSONファイルとしてエクスポート

この機能により、コンプライアンスフレームワークを共有およびバックアップできます。

コンプライアンスセンターからコンプライアンスフレームワークをエクスポートするには:

1. 上部のバーで、検索または移動先を選択して、グループを見つけます。
2. 左のサイドバーで、セキュリティ > コンプライアンスセンターを選択します。
3. ページで、フレームワークタブを選択します。
4. エクスポートしたいコンプライアンスフレームワークを見つけます。
5. 縦方向の省略記号 ( ) を選択します。
6. Export as JSON fileを選択します。

JSONファイルはローカルシステムにダウンロードされます。

JSONテンプレートの構造とスキーマ

コンプライアンスフレームワークのJSONテンプレートは、フレームワークのメタデータ、要件、および関連するコントロールを定義する特定のスキーマ構造に従います。この構造を理解することで、組織の特定のコンプライアンスニーズを満たすためのカスタムテンプレートを作成したり、既存のテンプレートを修正したりするのに役立ちます。

フレームワークプロパティ

各JSONテンプレートには、次のトップレベルプロパティが含まれています:

要件の構造

requirements配列内の各要件には、以下が含まれます:

コントロール構造

controls配列内の各コントロールは、特定のチェックを定義します:

式オブジェクト

expressionオブジェクトは、コントロールがどのように評価されるかを定義します:

JSONテンプレート構造の例

以下は、完全な構造を示す簡略化された例です:

{
  "name": "Example Compliance Framework",
  "description": "Example framework demonstrating JSON structure",
  "color": "#1f75cb",
  "requirements": [
    {
      "name": "Security Scanning Requirement",
      "description": "Ensure security scanning is enabled for all projects",
      "controls": [
        {
          "name": "scanner_sast_running",
          "control_type": "internal",
          "expression": {
            "field": "scanner_sast_running",
            "operator": "=",
            "value": true
          }
        },
        {
          "name": "minimum_approvals_required_2",
          "control_type": "internal",
          "expression": {
            "field": "minimum_approvals_required",
            "operator": ">=",
            "value": 2
          }
        }
      ]
    }
  ]
}

要件

GitLab Ultimateでは、コンプライアンスフレームワークに特定のrequirementsを定義できます。要件は1つまたは複数のコントロールで構成されており、フレームワークが割り当てられたプロジェクトの設定または動作に対するチェックです。各要件には最大5つのコントロールがあります。

各コントロールには、GitLabがスケジュールされたスキャンまたはトリガーされたスキャン中にプロジェクトの順守状況を評価するために使用するロジックが含まれています。順守状況がどのように追跡されるかの詳細については、コンプライアンスステータスレポートを参照してください。

フレームワーク要件には、GitLabコンプライアンスコントロールまたは外部コントロールを使用できます。

GitLabコンプライアンスコントロール

GitLabコンプライアンスコントロールは、GitLabコンプライアンスフレームワークで使用できます。コントロールは、コンプライアンスフレームワークに割り当てられたプロジェクトの設定または動作に対するチェックです。

GitLabコンプライアンスコントロールを組み合わせて、コンプライアンス標準を満たすのに役立てることができます。

外部コントロール

外部コントロールは、外部システムに対して外部コントロールまたは要件のステータスをリクエストするAPIコールです。

サードパーティツールにデータを送信する外部コントロールを作成できます。

コンプライアンススキャンが実行されると、GitLabは通知を送信します。ユーザーまたは自動化されたワークフローは、GitLabの外部からコントロールのステータスを更新できます。

このインテグレーションにより、ServiceNowなどのサードパーティワークフローツール、または選択したカスタムツールと統合できます。サードパーティツールは関連するステータスで応答します。このステータスは、コンプライアンスステータスレポートに表示されます。

個々のプロジェクトごとに外部コントロールを設定できます。外部コントロールはプロジェクト間で共有されません。外部コントロールが6時間以上保留状態のままである場合、ステータスチェックは失敗します。

外部コントロールを追加

フレームワークを作成または編集する際に外部コントロールを追加するには:

1. 上部のバーで、検索または移動先を選択して、グループを見つけます。
2. 左のサイドバーで、セキュリティ > コンプライアンスセンターを選択します。
3. ページで、フレームワークタブを選択します。
4. 新規フレームワークを選択するか、既存のものを編集します。
5. 要件セクションで、新しい要件を選択します。
6. 外部コントロールの追加を選択します。
7. フィールドで、外部コントロール名、外部URL、および HMAC共有シークレット を編集します。
8. （オプション）オプション。Ping enabled切替をオフにして、コンプライアンススキャン中にGitLabが外部サービスに通知を送信するかどうかを制御します。
9. フレームワークへの変更を保存を選択して、要件を保存します。

Ping enabled設定

Ping enabled設定は、GitLabが12時間ごとに外部システムから外部コントロールステータス更新をリクエストするかどうかを制御します。

• 有効（デフォルト）: GitLabは12時間ごとに外部サービスURLにHTTPリクエストを自動的に送信し、応答に基づいて外部コントロールステータスを更新します。
• 無効: GitLabは外部サービスに通知を送信せず、外部コントロールはコンプライアンスフレームワークUIに無効バッジを表示します。外部コントロールのステータスをリクエストするには、外部コントロールAPIを手動で使用する必要があります。

外部コントロールライフサイクル

外部コントロールにはasynchronousのワークフローがあります。コンプライアンススキャンが実行されると、外部サービスにペイロードを送信します。

%%{init: { "fontFamily": "GitLab Sans" }}%%
sequenceDiagram
    accTitle: Workflow for external compliance controls
    accDescr: GitLab sends a requirement payload to an external service and receives a control response for compliance validation.

    GitLab->>+External service: Requirement payload
    External service-->>-GitLab: Control response
    Note over External service,GitLab: Response includes SHA at HEAD

ペイロードが受信されると、外部サービスは必要なプロセスを実行できます。外部サービスは、REST APIを使用して、応答をマージリクエストにポストできます。

外部コントロールには、3つのステータスのいずれかがあります。

GitLabの外部で何かが変更された場合、APIを使用して外部コントロールのステータスを設定できます。最初にペイロードが送信されるのを待つ必要はありません。

外部コントロールペイロードの例

GitLabがコンプライアンススキャン中に外部サービスに通知を送信すると、ペイロードに詳細なプロジェクト情報が含まれます。以下はJSONペイロード構造の例です:

{
  "id": 123456,
  "description": "Project for compliance testing and validation",
  "name": "Compliance Test Project",
  "name_with_namespace": "acme-corp / engineering / security / compliance-test-project",
  "path": "compliance-test-project",
  "path_with_namespace": "acme-corp/engineering/security/compliance-test-project",
  "created_at": "2024-01-15T10:30:00.000Z",
  "tag_list": ["compliance", "security"],
  "topics": ["governance", "audit"],
  "ssh_url_to_repo": "git@gitlab.com:acme-corp/engineering/security/compliance-test-project.git",
  "http_url_to_repo": "https://gitlab.com/acme-corp/engineering/security/compliance-test-project.git",
  "web_url": "https://gitlab.com/acme-corp/engineering/security/compliance-test-project",
  "avatar_url": "https://gitlab.com/uploads/-/system/project/avatar/123456/avatar.png",
  "star_count": 5,
  "last_activity_at": "2024-11-20T14:25:30.000Z",
  "visibility": "private",
  "namespace": {
    "id": 654321,
    "name": "Security Group",
    "path": "security",
    "kind": "group",
    "full_path": "acme-corp/engineering/security",
    "parent_id": 654320,
    "avatar_url": "https://gitlab.com/uploads/-/system/group/avatar/654321/avatar.png",
    "web_url": "https://gitlab.com/groups/acme-corp/engineering/security"
  },
  "container_registry_image_prefix": "registry.gitlab.com/acme-corp/engineering/security/compliance-test-project",
  "_links": {
    "self": "https://gitlab.com/api/v4/projects/123456",
    "issues": "https://gitlab.com/api/v4/projects/123456/issues",
    "merge_requests": "https://gitlab.com/api/v4/projects/123456/merge_requests",
    "repo_branches": "https://gitlab.com/api/v4/projects/123456/repository/branches",
    "labels": "https://gitlab.com/api/v4/projects/123456/labels",
    "events": "https://gitlab.com/api/v4/projects/123456/events",
    "members": "https://gitlab.com/api/v4/projects/123456/members",
    "cluster_agents": "https://gitlab.com/api/v4/projects/123456/cluster_agents"
  },
  "marked_for_deletion_at": null,
  "marked_for_deletion_on": null,
  "packages_enabled": true,
  "empty_repo": false,
  "archived": false,
  "resolve_outdated_diff_discussions": false,
  "container_expiration_policy": {
    "cadence": "1d",
    "enabled": false,
    "keep_n": 10,
    "older_than": "90d",
    "name_regex": ".*",
    "name_regex_keep": null,
    "next_run_at": "2024-01-16T10:30:00.000Z"
  },
  "repository_object_format": "sha1",
  "issues_enabled": true,
  "merge_requests_enabled": true,
  "wiki_enabled": true,
  "jobs_enabled": true,
  "snippets_enabled": true,
  "container_registry_enabled": true,
  "service_desk_enabled": true,
  "can_create_merge_request_in": false,
  "issues_access_level": "enabled",
  "repository_access_level": "enabled",
  "merge_requests_access_level": "enabled",
  "forking_access_level": "enabled",
  "wiki_access_level": "enabled",
  "builds_access_level": "enabled",
  "snippets_access_level": "enabled",
  "pages_access_level": "private",
  "analytics_access_level": "enabled",
  "container_registry_access_level": "enabled",
  "security_and_compliance_access_level": "private",
  "releases_access_level": "enabled",
  "environments_access_level": "enabled",
  "feature_flags_access_level": "enabled",
  "infrastructure_access_level": "enabled",
  "monitor_access_level": "enabled",
  "model_experiments_access_level": "enabled",
  "model_registry_access_level": "enabled",
  "package_registry_access_level": "enabled",
  "emails_disabled": false,
  "emails_enabled": true,
  "show_diff_preview_in_email": true,
  "shared_runners_enabled": true,
  "lfs_enabled": true,
  "creator_id": 111222,
  "import_status": "none",
  "open_issues_count": 3,
  "description_html": "<p>Project for compliance testing and validation</p>",
  "updated_at": "2024-11-20T14:25:30.000Z",
  "public_jobs": true,
  "shared_with_groups": [],
  "only_allow_merge_if_pipeline_succeeds": false,
  "allow_merge_on_skipped_pipeline": null,
  "request_access_enabled": true,
  "only_allow_merge_if_all_discussions_are_resolved": false,
  "remove_source_branch_after_merge": true,
  "printing_merge_request_link_enabled": true,
  "merge_method": "merge",
  "merge_request_title_regex": null,
  "merge_request_title_regex_description": null,
  "squash_option": "default_off",
  "enforce_auth_checks_on_uploads": true,
  "suggestion_commit_message": null,
  "merge_commit_template": null,
  "squash_commit_template": null,
  "issue_branch_template": null,
  "warn_about_potentially_unwanted_characters": true,
  "autoclose_referenced_issues": true,
  "max_artifacts_size": null,
  "approvals_before_merge": 0,
  "mirror": false,
  "external_authorization_classification_label": "",
  "requirements_enabled": true,
  "requirements_access_level": "enabled",
  "security_and_compliance_enabled": false,
  "compliance_frameworks": ["SOC 2 Compliance Framework"],
  "merge_pipelines_enabled": false,
  "merge_trains_enabled": false,
  "merge_trains_skip_train_allowed": false,
  "only_allow_merge_if_all_status_checks_passed": false,
  "allow_pipeline_trigger_approve_deployment": false,
  "prevent_merge_without_jira_issue": false,
  "auto_duo_code_review_enabled": false,
  "duo_remote_flows_enabled": true,
  "duo_foundational_flows_enabled": true,
  "spp_repository_pipeline_access": false,
  "project_control_compliance_status": {
    "status": "pending",
    "compliance_requirements_control_id": 100001,
    "project_id": 123456,
    "compliance_requirement_id": 200001,
    "namespace_id": 654321,
    "id": 300001,
    "created_at": "2024-11-26T10:00:00.000Z",
    "updated_at": "2024-11-26T10:00:00.000Z",
    "requirement_status_id": null
  }
}

外部サービスはこの情報を使用してコンプライアンスチェックを実行し、外部コントロールAPIを使用して適切なコントロールステータスで応答できます。

要件を追加

フレームワークを作成または編集する際に要件を追加するには:

1. 上部のバーで、検索または移動先を選択して、グループを見つけます。
2. 左のサイドバーで、セキュリティ > コンプライアンスセンターを選択します。
3. ページで、フレームワークタブを選択します。
4. 新規フレームワークを選択するか、既存のものを編集します。
5. 要件セクションで、新しい要件を選択します。
6. ダイアログで名前と説明を追加します。
7. GitLabコントロールを追加するを選択して、コントロールを追加します。
8. コントロールのドロップダウンリストでコントロールを検索して選択します。
9. フレームワークへの変更を保存を選択して、要件を保存します。

要件を編集

フレームワークを作成または編集する際に要件を編集するには:

1. 上部のバーで、検索または移動先を選択して、グループを見つけます。
2. 左のサイドバーで、セキュリティ > コンプライアンスセンターを選択します。
3. ページで、フレームワークタブを選択します。
4. 新規フレームワークを選択するか、既存のものを編集します。
5. 要件セクションで、アクション > 編集を選択します。
6. ダイアログで名前と説明を編集します。
7. GitLabコントロールを追加するを選択して、コントロールを追加します。
8. コントロールのドロップダウンリストでコントロールを検索して選択します。
9. を選択してコントロールを削除します。
10. フレームワークへの変更を保存を選択して、要件を保存します。

トラブルシューティング

コンプライアンスフレームワークを操作する際に、次の問題が発生する可能性があります。

エラー: Unable to determine the correct upload URL

JSONテンプレートと同じ名前のコンプライアンスフレームワークが既に存在する場合、コンプライアンスフレームワークインポート中にこのエラーが発生します。