メインコンテンツへスキップ
Corgea DropsiteまたはCorgea CLIを使用してスキャンをアップロードできます。
前提条件 Corgeaに登録済みであることSASTスキャナー Checkmarx、CodeQL、Semgrep、Fortify、Coverity、SnykなどのSASTスキャナーを使用していること。Corgeaは現在これらのスキャナーをサポートしており、VeracodeとSonarQubeのサポートもロードマップに含まれています。

​
Corgea Dropsite

Corgea Dropsiteは、プロジェクトを簡単にCorgeaに追加して分析できるウェブインターフェースです。コードや様々なセキュリティスキャナーからのレポートをアップロードするオプションがいくつか用意されています。Dropsiteのファイルサイズ制限は1GBです。大規模なプロジェクトの場合は、Corgea CLIをご利用ください。

​
プロジェクトの追加

Corgeaにプロジェクトを追加するには、次の手順を実行します。 CorgeaのProjectsページまたはScansページでAdd Projectボタンをクリックし、Dropsiteページに移動します。
Dropsiteページには、プロジェクトを追加するためのいくつかのオプションが表示されます。

​
リポジトリを接続する(推奨)

このオプションにより、GitHub、GitLab、Azure DevOps、Bitbucket、Harnessなどの設定済みソース管理統合を使って、コードリポジトリをCorgeaに直接接続できます。 適切なソース管理連携をクリックし、Corgeaによるリポジトリへのアクセスを許可します。 Corgeaに追加するリポジトリを選択します。

​
公開リポジトリを追加

リポジトリが公開されている場合は、URLを提供してCorgeaに追加できます。 Public Repoタブを選択します。 入力欄に公開リポジトリのURLを入力します。 Addをクリックします。

​
ウェブアップロード

このオプションでは、プロジェクトのコードを含むZIPファイルをアップロードできます。 Web Uploadタブを選択し、プロジェクトのコードを含むZIPファイルをアップロードします。 ZIPをアップロードした後、Project nameを確認します。初期値はファイル名から.zipを除いた名前です。名前は空欄にできず、255文字以内で、スラッシュを含めることはできません。Corgeaは大文字と小文字を区別せずに既存のプロジェクトを確認します。アクセス権があれば、そのプロジェクトに新しいスキャンとして追加されます。アクセス権がない場合は別の名前を指定してください。リポジトリ接続ではこの手順を省略します。アップロード済みプロジェクトを再スキャンした場合も、同じプロジェクトに結果が追加されます。
大文字と小文字を区別せずに既存のプロジェクトが見つかったName your projectの手順
アクセス権のないプロジェクトが同じ名前を使用していることを示すName your projectの手順
ウェブアップロードで新しいプロジェクトを作成し、Modify Project Tags 権限がある場合、プロジェクト名の確認後に Tags ステップが表示されます。既存のタグを選択するか、新しいタグを入力してからスキャン設定に進みます。タグは任意で、Corgea によるスキャンとスキャナーレポートのアップロードの両方に適用されます。既存のプロジェクトへのアップロードでは元のタグが維持されます。リポジトリ接続ではこのステップは表示されません。
新しいプロジェクトに既存のタグを追加したウェブアップロードのTagsステップ
ファイルサイズを削減して処理を高速化するため、プロジェクトをアップロードする際はサードパーティライブラリとビルドアーティファクト（例:node_modules、vendor、dist）を除外してください。リポジトリから直接ZIPファイルをダウンロードすると、これらを除外できます。
Web Uploadのファイルサイズ上限は1GBです。これを超えるプロジェクトにはCorgea CLIを使用してください。
プロジェクトを追加すると、Choose how to scanの手順でScan with CorgeaまたはUpload a scanner reportを選択できます。サポート対象のセキュリティスキャナーのレポートをアップロードするには、Upload a scanner reportを選択します。
Scan with Corgeaを選択し、Start scanボタンを表示したChoose how to scanの手順

​
レポートをアップロード

対応ツールとレポートファイルのドロップ領域を表示したUpload a scanner reportの画面
1

レポートをアップロード

ローカルマシンからレポートファイル（通常はJSONファイル）を選択し、アップロードボックスにドロップします。
CorgeaはCheckmarx(JSON)、CodeQL(JSON)、Snyk(SARIF)、Semgrep(JSON)、Fortify(FPR)、Coverity(XML)スキャンをサポートしています。
2

処理

レポートが正常にアップロードされると、Corgeaがプロジェクトとレポートを処理します。
3

結果を確認

処理が完了したら、View scansで結果を確認するか、Add another projectで別のアップロードを開始します。
これらの手順に従うことで、プロジェクトを簡単に追加し、セキュリティレポートをCorgeaにアップロードして分析や修復を行うことができます。

​
Corgea CLI

Corgea CLI（コマンドラインインターフェース）は、CorgeaとCI/CDパイプラインの連携、カスタムスキャンの実行、1GBを超える大規模プロジェクトのアップロードに対応します。 インストール方法と使用方法はCLIのページを参照してください。 pipを使ってCorgea CLIをインストールできます。
CLIの詳細はこちら

​
CLIでアップロード

1

リポジトリに移動

スキャン対象のリポジトリに移動します。
2

スキャンを実行

これらのコマンドはリポジトリのルートで実行します。CLI 1.14.0以降では、corgea uploadはレポートに記載がなくても、カレントディレクトリとその配下のcorgea.yamlとcorgea.ymlを自動で含めます。CLI 1.14.2以降では、レポートの基準ディレクトリが異なる場合（ビルドエージェントのパスなど）でも、ソースファイルを特定できます。詳細はCLIを参照してください。
3

結果を確認

スキャンが完了すると、リポジトリフォルダーにスキャンレポートが生成され、そのコピーが処理のためCorgeaに送信されます。
4

問題の修正

スキャン結果の規模によっては、結果が表示されるまで時間がかかることがあります。検出結果が数百件の場合、通常は10分ほどかかります。詳細は修正を参照してください。

​
トラブルシューティング

このエラーは、Corgea CLIがインストールされていないか、PATHに含まれていない場合に発生します。
CLIのインストール手順に従ってCLIをインストールします。
**Settings → Automation → API token**で取得した正しいトークンを使用してCLIにログインしていることを確認します。
SAST/SCAツールにログインしていないというエラーが出るかもしれません。一部のツールはログインが必要です。例えば、次のコマンドでSemgrepにログインできます:
SAST/SCAツールにログインしていないというエラーが出るかもしれません。一部のツールはログインが必要です。例えば、次のコマンドでSemgrepにログインできます: