メインコンテンツまでスキップ

DAST API連携

DAST API Integration機能により、組織/チームのAPIに対してDAST連携とセキュリティスキャンを管理できます:

  • Authentication Profileリストの確認
  • Authentication Profileの作成・編集
  • ドメイン所有権の確認
  • API Sourceの管理（追加 / Enable / Disable / Delete）
  • CI/CD Scan Scriptの取得

DAST API Integration一覧の確認​

メニューでIntegrationを選択してIntegration Management画面を開きます。次に組織/チームのAPIカード（DAST Controlグループ）を選択します。

DAST API Integration List画面が表示されます。

DAST API Integration — Authentication Profileリスト

Authentication Profileのフィールド:

フィールド説明
Profile NameAuthentication Profile名
Domain Access設定されたドメイン
Access KeyCI/CD用のキー（表示/非表示またはリセット可能）
Ownershipドメイン確認状態
Added Atプロファイル作成日時
Action利用可能なアクション: EditとAdd API Source

Profile NameとDomain Accessで検索できます（大文字小文字を区別しない）。

Authentication Profileの作成​

Authentication Profileは認証情報を保持します。API Sourceはスキャン対象のシステムです。システムがAPIにアクセスできるよう、まずプロファイルを作成する必要があります。

  1. DAST API Integration一覧でAdd Authentication Profileをクリックします。
  2. Add Authentication Profileポップアップが表示されます。プロファイル情報を入力します。

DAST API — Add Authentication Profileポップアップ

  • Profile Name（必須）: 識別しやすい名前を入力します。
  • Domain Access（必須）: システムがリクエストを送信できるドメインを入力します。
  • Authentication configuration: Query ParametersとHeadersの2グループをサポート。

Query Parameters（任意）: URL経由で認証データを渡します。最大5パラメーター; 各パラメーターは一意のKeyとValueを持ちます。

Headers（任意）: Bearer Token、Basic Auth、Cookie、Custom Headerをサポート。

タイプ上限備考
Bearer Token1固定キー: Authorization; 値は最大2048文字
Basic Auth1固定キー: Authorization; Username+Password入力
Cookie1デフォルトキー: Cookie; Value入力
Custom Header5各ヘッダーは一意のKeyとValueを持つ
注記

Bearer TokenまたはBasic Authを追加すると、もう一方は無効化されます。上限に達したヘッダータイプは無効化されます。

保存後:

  • ドメイン未確認 → プロファイルのOwnershipカラムにVerify Nowボタンが表示されます。
  • ドメイン確認済み → Verifiedステータスが表示されます。

Authentication Profileの編集​

  1. DAST API Integration一覧で更新するプロファイルのEditをクリックします。
  2. Edit Authentication Profileポップアップが表示されます。プロファイル情報を更新します。

DAST API — Edit Authentication Profileポップアップ

作成と同様ですが、Domain Accessは変更できません。

ドメイン所有権の確認​

この機能により、スキャン対象のドメインがユーザーの管理下にあることを確認し、DAST APIスキャン機能を有効化します。

  1. 未確認プロファイルのOwnershipカラムでVerify Nowをクリックします。

Verify Domainポップアップが表示されます。

DAST API — Verify Domain Ownershipドロワー

  1. フィールドを確認します:

    • Domain Access: プロファイルに設定されたドメイン。
    • Domain Verification: Domain Accessから自動的に導出されたルートドメイン。

  2. 確認方法を選択します:

方法1: DNS TXTレコード（デフォルト）

  • 提供されたNameとValueをコピーします。
  • ドメインのDNS管理システムを開き → 提供されたNameとValueでTXTレコードを作成 → 保存してDNS伝播を待ちます。

方法2: HTMLファイルアップロード

  • 提供されたFile NameとContentで.txtファイルをダウンロードします。
  • このファイルをWebサーバーのルートディレクトリの指定されたUpload Locationにアップロードします。
  1. Verify Nowをクリックします。

確認成功: OwnershipステータスがVerifiedに設定され、Access Keyが生成され、同じルートドメインを持つすべてのプロファイルもVerifiedに更新されます。

確認失敗: エラーメッセージが表示され、ユーザーはポップアップに留まって確認・再試行できます。

API Sourceの確認と管理​

DAST API Integration一覧でAuthentication ProfileのExpandアイコンをクリックして、API Sourceを表示します。

DAST API — アクション付きAPI Sourceリスト

API Sourceのフィールド:

フィールド説明
Source NameAPI Source名
API DocumentEndpointとDocument URLまたはアップロードファイル
StatusActiveまたはInactive
ActionDisable、Enable、Delete、View CI/CD scan script

API Sourceの作成​

ドメインが確認済みのAuthentication ProfileのみAPI Sourceを作成できます。

  1. 確認済みプロファイルの行でAdd API Sourceをクリックします。
  2. Create API Sourceポップアップが表示されます。情報を入力します。

DAST API — Create API Sourceポップアップ

  • Source Name: API Source名。
  • Method: URL（デフォルト）またはUpload file。
  • Document URL / Upload File: Swaggerファイルへのパス。
  • Endpoint: クライアントが呼び出す実際のエンドポイント。
  • Parameter: Swaggerから解析された必須パラメーター（Header、Path、Query）。
  • Whitelist IP: スキャントラフィックを許可するためにホワイトリストに追加が必要なIP。
  1. Saveをクリックします。成功すると、新しいAPI Sourceがリストに表示されます。

API SourceのDisable / Enable​

API SourceのアクションカラムにあるDisableまたはEnableをクリックしてステータスを変更します。

API Sourceの削除​

API SourceのアクションカラムでDeleteをクリックします。

DAST API — Delete API Source確認

確認ダイアログで削除を確認します。

CI/CDスキャンスクリプトの確認​

API SourceのアクションカラムにあるView CI/CD Scan Scriptをクリックして、パイプライン統合用スクリプトを表示します。

DAST API — CI/CDスキャンスクリプト

スクリプトをコピーしてCI/CDパイプラインの設定に追加します。