はじめてのHCP Vault Radar⑥ AzureDevOps Cloud連携によるシークレット自動検出

Posted at 2025-09-02

はじめに

HCP Vault Radarのトライアル環境で、Azure DevOps Cloudのリポジトリをスキャンしてみます。

HCP Vault Radarではいくつかのスキャン方式を提供しています。
以下は、HCP Vault Radarが提供するスキャン方式の一覧です。

#	カテゴリ	説明
1	HCP Vault Radar Scan	SaaSからの直接スキャン、トライアル環境で設定可能。
2	Vault Radar Agent Scan	Agent経由のスキャン、トライアル環境で設定可能。Agentは１つまで構成可能
3	Vault Radar CLI Scan	CLIでのスキャン。マニュアルに「Contact your customer success manager to enable HCP Vault Radar or for a license to run the CLI in offline mode.」と記載あるので一部利用できない可能性あり。

今回は、#1 HCP Vault Radar Scan 方式のスキャンで試してみます。

1.Vault Radarのダッシュボードで、スキャン方法として、「HCP Vault Radar Scan」を選択し、Continueをクリックします

2.スキャン対象のデータソースを設定します。今回はAzure DevOps Cloudを選択します

3.Azure DevOps Cloudの組織名、プロジェクト名を指定します。

4.Azure DevOps Cloudでパーソナルアクセストークンを取得します。

Azure DevOps Cloudの右上の「歯車アイコン」-「Personal access token」をクリックします。

「New Token」をクリックします。

こちらのガイドに従い、スコープを設定します。

Azure DevOps Cloudのアクセストークンは、下記スコープを選択して発行します。
デフォルトだとすべてスコープが表示されていないので、Show all scopesのリンクをクリックします。

発行されたトークンをVault Radarの設定画面に入力して、「Next」をクリックします。

4.リポジトリを50個以内で選択し（あるいは、All active repositoriesを選択します）、Finishボタンをクリックします。

5.スキャンが完了すると、以下のような画面に遷移します。

以上で、Azure DevOps Cloudとの連携ができました。
次に、リポジトリにシークレットを記載し、スキャンしてみます。

テストシークレットを登録して、Azure DevOps CloudにPushします。

❗ 本物の鍵は絶対に使用しないでください。本記事のキーはすべて無効なダミーです。

VaultRadarDemo/
└── config.js

config.js

const password = "hunter2";
const dbPassword = "supersecurepassword123";

Azure DevOps Cloudに同期されたことを確認します。

HCP Vault Radarが自動的にスキャンした結果がダッシュボードに表示されます。

リソース名をクリックすると、詳細情報が確認できます。

左のメニューで「Events」をクリックすると、検出したシークレット情報がイベント形式で一覧表示されます。

各イベント行を選択すると、さらに詳細情報が表示されました。また、Remediation（修復措置）についても情報提供があります。

Context列にあるリンクをすると、Azure DevOps Cloudでソースコードを確認できます。

今回は、HCP vault Radarから直接スキャンする形で、Azure DevOps Cloudのデータをスキャンしました。