Checkov tool omits Azure Pipelines results
@DimaBir がすでに取り組んでいます。
2026年5月13日 から。
評価
この issue はまだ評価されていません。
説明
When I use the Checkov tool to scan a cloned Azure DevOps Git repo with an azure-pipelines.yml, I can see CKV_AZUREPIPELINES_ results, but when I use MicrosoftSecurityDevOps@1 in a pipeline for that very same repo, scanning the whole repo, I don't get these CKV_AZUREPIPELINES_ errors.
Don't get me wrong but, this seems like a missed easy win?
Thus, I'm not sure if this is a bug with my implementation or a missing feature. As such here are some details on my implementation, please let me know if I'm missing something obvious.
Here's my .gdcnconfig, derived from https://github.com/microsoft/security-devops-azdevops/wiki#checkov-gdnconfig-sample:
{
"tools": [
{
"tool": {
"name": "checkov",
"version": "Latest"
},
"arguments": {
"Directory": "$(Checkov.DefaultTargetDirectory)",
"Help": false,
"Version": false,
"OutputType": "sarif",
"List": false,
"Quiet": false,
"Compact": true,
"RunAllExternalChecks": false,
"Soft": false,
"ShowConfig": false,
"CreateBaseline": false,
"OutputBaselineAsSkipped": false,
"NoFailOnCrash": false,
"EnableSecretScanAllFiles": true
},
"outputExtension": "sarif",
"successfulExitCodes": [
0
],
"errorExitCodes": {
"1": "Checkov tool found issues.",
"2": "An error has occurred running the Checkov tool."
},
"outputPaths": []
}
]
}
And the pipeline task:
- task: MicrosoftSecurityDevOps@1
env:
GDN_RUN_WORKINGDIRECTORY: $(Build.SourcesDirectory)
inputs:
break: true
publish: false
I do get the other results from Checkov, although not always on par with calling standalone Checkov itself.
There seems to be some behind-the-scenes magic at work. For instance, when using MicrosoftSecurityDevOps@1 I found CKV_AZURE_177 downgraded to a warning, where it's an error when I call checkov standalone to perform what I think is the same scan.
Here's how I've been performing a manual scan with Checkov, that seems to look deeper and be more strict than the task's call does:
checkov -d "$(Build.SourcesDirectory)" --repo-root-for-plan-enrichment "$(Build.SourcesDirectory)" --deep-analysis -o cli -o sarif --output-file-path console,$results
- 主要言語
- TypeScript
- スター
- 86
- フォーク
- 22
- PR マージ指標
- 30日以内にマージされた PR はありません
コントリビューションガイド
このリポジトリのコントリビューションガイドは索引されていません
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
microsoft/security-devops-azdevops のほかの issue
-
難易度 1/5 1時間未満 初心者へのやさしさ 68/100
-
area:task area:tools status:waiting-on-author type:docs type:question
microsoft/security-devops-azdevops#169 · コメント 1 件 · 担当者 1 名 ·
-
Which Defender CLI binary should be used in CI/CD pipelines — `aka.ms` or the DevOps CDN endpoint? オープン
難易度 5/5 1週間以上 初心者へのやさしさ 35/100
microsoft/security-devops-azdevops#166 · コメント 2 件 · リアクション 1 件 ·
-
area:task area:tools status:team-review type:feature
microsoft/security-devops-azdevops#164 · リアクション 2 件 · 担当者 2 名 ·
-
enhancement
難易度 4/5 3〜5日 初心者へのやさしさ 35/100
microsoft/security-devops-azdevops#152 · コメント 2 件 ·
microsoft/security-devops-azdevops の issue をすべて見る
似ている issue
-
comp/dashboard P3 type/bug
難易度 2/5 1〜3時間 初心者へのやさしさ 86/100
NousResearch/hermes-agent#117722 ·
-
clawsweeper:fix-shape-clear clawsweeper:queueable-fix clawsweeper:source-repro impact:ux-friction issue-rating: 🦞 diamond lobster no-stale P3
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
-
community first-timers-only good first issue hacktoberfest help wanted low hanging fruit up-for-grabs
難易度 1/5 1時間未満 初心者へのやさしさ 76/100
-
code-quality refactoring
難易度 2/5 1〜3時間 初心者へのやさしさ 84/100
github/gh-aw-firewall#8816 ·
-
integration:quickjs org:external priority:backlog topic:code-interpreter topic:middleware type:feature
難易度 2/5 1〜3時間 初心者へのやさしさ 74/100
langchain-ai/deepagents#6450 ·