翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

IDE からコードセキュリティスキャンを実行する

Kiro または Claude コードを使用して、IDE から直接 AWS セキュリティエージェントのコードセキュリティスキャンを実行します。IDE 統合により、開発環境を離れることなく、ローカルソースコードをスキャンしてセキュリティの脆弱性を確認し、変更されたコードでのみ差分スキャンを実行し、設計ドキュメントで脅威モデルレビューを実行できます。検出結果は修復ガイダンスとともにコードとともに表示され、IDE から直接自動修正を適用できます。

IDE 統合の仕組み

IDE 統合では、AWS セキュリティエージェント MCP (モデルコンテキストプロトコル) サーバーを使用して IDE を AWS セキュリティエージェントサービスに接続します。

MCP サーバーは、エージェントスペースのプロビジョニング、S3 バケットの作成、IAM ロールのセットアップ、コードパッケージング、スキャンポーリングなど、すべてのオーケストレーションを処理するため、ローカルで設定される AWS 認証情報のみが必要です。

前提条件

開始する前に、以下があることを確認してください。

MCP サーバーをインストールする

Kiro

Kiro マーケットプレイスから AWS Security Agent Power をインストールします。Power は、自動セキュリティスキャンの提案のために MCP サーバー設定、ステアリング手順、ライフサイクルフックをバンドルします。

または、プロジェクトの で MCP サーバーを手動で設定します.kiro/mcp.json。

{
  "mcpServers": {
    "security-agent": {
      "command": "uvx",
      "args": ["awslabs.security-agent-mcp-server@latest"],
      "env": {
        "AWS_PROFILE": "default",
        "AWS_REGION": "us-east-1",
        "FASTMCP_LOG_LEVEL": "ERROR"
      }
    }
  }
}

Claude Code

AWS Security Agent プラグインをインストールします。これにより、セットアップ、フルスキャン、差分スキャン、脅威モデルレビュー、修復のスキルが得られます。

プロジェクトの で MCP サーバーを設定します.mcp.json。

{
  "mcpServers": {
    "awslabs.security-agent-mcp-server": {
      "command": "uvx",
      "args": ["awslabs.security-agent-mcp-server@latest"],
      "env": {
        "AWS_PROFILE": "default",
        "AWS_REGION": "us-east-1",
        "FASTMCP_LOG_LEVEL": "ERROR"
      }
    }
  }
}

初回の設定

初回使用時に、MCP サーバーは必要な AWS リソースを自動的にプロビジョニングします。

セットアップを明示的にトリガーするには、IDE にお問い合わせください。

Set up the security agent

セットアップでは、AWS 認証情報の検証、エージェントスペースの作成または再利用、IAM ロールと S3 バケットのプロビジョニング、準備状況の確認を行います。AWS マネジメントコンソールのエージェントスペースがすでにある場合、セットアップでそれらが表示され、使用するエージェントスペースが尋ねられます。

フルセキュリティスキャンを実行する

プロジェクト全体でセキュリティの脆弱性をスキャンします。

Scan this project for security issues

IDE:

スキャンの進行状況

フルスキャンは通常、コードベースのサイズに応じて約 1 時間かかります。IDE は 5 分ごとに進行状況を確認し、結果の準備ができたら通知します。ステータスはいつでもリクエストできます。

How's the scan going?

差分スキャンを実行する

開発中のフィードバックを高速化するには、git ref 以降に変更されたコードのみをスキャンします。

Scan my changes against main for security issues

デフォルトでは、ベース ref を指定しない場合、スキャンはコミットされていない変更を と比較しますHEAD。別のベースを明示的に指定できます。

Diff scan my uncommitted changes

差分スキャンは、完全なリポジトリコンテキストと git diff パッチの両方をアップロードし、変更された行のみに焦点を当てた分析を実行します。結果は通常 5～15 分で届きます。

S3 差分スキャン API の詳細については、「」を参照してくださいS3 で差分コードスキャンを実行する。

脅威モデルレビューを実行する

STRIDE 手法を使用して、セキュリティ体制の変更について設計ドキュメントを分析します。

Run a threat model review on my spec

IDE は requirements.mdおよび design.md ファイル (通常は の下.kiro/specs/) を識別し、ソースコードと一緒にアップロードして、脅威モデル分析を実行します。結果は以下を識別します。

検出結果を確認する

スキャンが完了すると、結果は重要度別にグループ化された IDE に表示されます。

🟣 CRITICAL: SQL Injection in user-service.ts
   File: src/api/user-service.ts:45
   User input flows directly into SQL query without parameterization

🔴 HIGH: Hardcoded credentials in config.ts
   File: src/config/database.ts:12
   Database password stored in source code

また、詳細なレポートは、リスクタイプ、信頼スコア、コードの場所、修復コードなど、各検出結果の完全な情報.security-agent/findings-{scan_id}.mdとともに に書き込まれます。

前回のスキャンの結果を表示するには:

Show my security findings

自動修正を適用する

検出結果を確認したら、自動修復を適用します。

Fix the security findings

IDE は、重要度 (重大 → 高 → 中 → 低) 別に検出結果のトップダウンを実行し、各検出結果の修正ガイダンスを使用してコード修正を適用します。すべての修正が適用されると、検証差分スキャンが自動的に実行され、問題が解決されたことを確認します。

個々の検出結果を修正することもできます。

Fix the SQL injection in user-service.ts

自動スキャン提案 (Kiro)

Kiro Power を使用する場合、AWS セキュリティエージェントは、セキュリティに敏感なコード変更を行った後に、差分スキャンを自動的に提案できます。Power は、完了した各コーディングターンを評価するフックをインストールし、変更が以下に影響する場合にスキャンを提案します。

を削除することで、いつでも自動提案をオプトアウトできます.kiro/hooks/security-diff-scan-suggester.kiro.hook。

使用可能なスキャンタイプ

環境変数

トラブルシューティング

「設定されていません。最初にセットアップを実行します。」

.security-agent/config.json が見つからないか、エージェントスペースが存在しなくなりました。IDE にセットアップの実行を依頼します。

Set up the security agent

AccessDenied でスキャンが失敗する

AWS 認証情報に、「前提条件」セクションに記載されている必要な IAM アクセス許可があることを確認します。最も一般的な欠落しているアクセス許可は です iam:CreateRole (初回セットアップでのみ必要）。

スキャンがタイムアウトするか、時間がかかりすぎる

空の差分 — スキャンの変更なし

コミットされていない変更なしで差分スキャンを実行すると、MCP サーバーは「HEAD に対する変更なし」を報告し、スキャンを開始しません。最初に変更をコミットまたはステージングするか、別のベース ref を指定します。

クォータと制限

次の手順

最初の IDE セキュリティスキャンを実行した後: