Amazonは先頃、Amazon CodeGuru ReviewerとGitHub ActionsのCI/CD統合を発表した。同クラウドプロバイダは、Java用の問題を特定し、セキュリティのベストプラクティスに従うための20の新しいセキュリティ検出器もリリースした。
新機能により、プルリクエストを実行するか、GitHubのメインブランチに変更をプッシュすると、変更されたコード行のスキャンがトリガされる。パイプラインの実行をスケジュールすると、リポジトリ全体のフルスキャンがトリガされる。1年前から一般利用可能なAmazon CodeGuru Reviewerは、機械学習を活用してJavaとPythonの潜在的な欠陥を検出し、改善のための提案を提供する開発者ツールだ。
CodeGuru Reviewerの新しい検出器は、上位10のOWASPカテゴリ、AWS APIのセキュリティのベストプラクティス、および一般的な暗号化ライブラリに依存した、セキュリティの脆弱性を特定し、Javaコードのセキュリティのベストプラクティスをチェックするのに役立つように設計されている。Pythonコードでは、セキュリティ検出器はサポートされていない。
AWSのシニア開発者アドボケイトであるAlex Casalboni氏は、GitHub Actionsとの統合が開発者にどのように役立つかについて説明している:
開発者または開発チームは、毎日新しいコードをプッシュし、開発サイクルの早い段階で、理想的にはすべてのプッシュでセキュリティの脆弱性を特定したいと考えています。プルリクエスト (PR) のレビュー中、すべてのCodeGuruの推奨事項は、PRに別の目を向けているかのようにコメントを表示します。これらのコメントには、問題の解決に役立つリンクが含まれています。新しいコードをプッシュするか、コードレビューをスケジュールすると、GitHubの Security > Code scanning アラートタブに推奨事項が表示されます。
出典: https://aws.amazon.com/blogs/aws/amazon_codeguru_reviewer_updates_new_java_detectors_and_cicd_integration_with_github_actions/
Corey Quinn氏は、彼のニュースレタで最新機能とGitHubとの統合についてコメントしている:
すべてのコードが存在する場所では、AWSが飲み込むには苦いが必要な錠剤であり、宣誓した敵と協力する必要があります。彼らの宣誓した敵とは、もちろん「Amazonにお金を与えずに稼ぐ他の企業」です。
GitHubとの統合、Pythonのサポート、およびJavaとPythonの開発者が100万のバグを修正するためのグローバルコンペティションである、AWS BugBustの最近の発表は、コーディングを改善するためのMLを利用した開発者ツールの市場の拡大を示唆している。毎週のサーバレスニュースレター Off-by-none の著者であるJeremy Daly氏は、新しいアプローチが開発者とAWSの両方にどのように役立つかを強調している:
CodeGuruをトレーニングするのは、crowd-sourced による大規模な教師あり学習のエクササイズにすぎないと思います。しかし、いずれにしても、バグを一掃してお金を節約するのは楽しくて創造的な方法のようです。
AWSは、Amazon CodeGuru Reviewerの機能のデモンストレーションのためにサンプルコードのリポジトリを提供している。同クラウドプロバイダは最近、最大90日間10万行のコードを含むCodeGuruのための低価格モデルを紹介した。