Backlog GitでSnykスキャンを自動実行してSlackに通知してみた
ゲームソリューション部の えがわ です。
本日はSnykのセキュリティスキャンをBacklogのGit（以下Backlog Git）のリポジトリに対して実行してみます。
背景
Snykはコードの脆弱性を検出するためのツールですが、BacklogのGitリポジトリに対しては以下のような課題があります。
- Backlog GitはSnykの公式インテグレーションに対応していない
- Backlog GitにはCI/CDの機能が備わっていない
そこで今回は、BacklogのWebhook機能を利用して、AWSでSnykスキャンを自動実行する仕組みを構築します。
ついでにスキャン結果をSlackに通知してみます。
構成図
BacklogからのWebhookを受け取り、API Gateway -> Lambda -> CodeBuildの流れでSnykスキャンを実行します。
API GatewayにはBacklogからのIPリストを設定し制限しています。
また、CodeBuildの完了後はEventBridge -> Lambda -> SNS -> Amazon Q Developer -> Slackの流れでスキャン結果の通知も行います。
リポジトリ
構築に使用したTerraformコードは以下のリポジトリで公開しています。
対応手順
SSHキーの作成
CodeBuildがBacklog GitリポジトリにアクセスするためのSSHキーを作成します。
ssh-keygen -t rsa -b 4096 -f ~/.ssh/id_rsa_backlog -N ""
公開鍵を確認します。
cat ~/.ssh/id_rsa_backlog.pub
BacklogにSSHキーを登録
Backlogの個人設定から「公開鍵」を選択し、作成した公開鍵を登録します。
Terraformの設定
terraform.tfvars.exampleファイルをコピーしてterraform.tfvarsを作成し、環境に合わせて設定します。
cp terraform.tfvars.example terraform.tfvars
GitリポジトリのURLとSnykの組織IDを設定する必要があります。
git_repo_urlにはBacklog GitリポジトリのSSH URLを指定します。
snyk_org_idにはSnykの組織IDを設定します。
組織IDはSnykのウェブダッシュボードで確認できます。
Terraformの適用
terraform init
terraform plan
terraform apply
実行が完了すると、通知の実装方法及びWebhook URLが出力しています。
amazon_q_developer_setup_details = {
"console_url" = "https://console.aws.amazon.com/chatbot/"
"recommended_iam_role" = "ReadOnlyAccess"
"region" = "us-east-1"
"sns_topic_arn" = "arn:aws:sns:us-east-1:your-aws-account:backlog-snyk-cicd-snyk-notifications"
"test_command" = "aws codebuild start-build --project-name backlog-snyk-cicd-snyk-scan"
}
api_gateway_id = "xxxxxxxxx"
codebuild_project_name = "backlog-snyk-cicd-snyk-scan"
eventbridge_rule_name = "backlog-snyk-cicd-codebuild-completion"
lambda_function_name = "backlog-snyk-cicd-webhook-handler"
notification_lambda_function_name = "backlog-snyk-cicd-notification-handler"
s3_bucket_name = "backlog-snyk-cicd-codebuild-artifacts-xxxxxxxxx"
setup_instructions = <<EOT
1. Update Snyk API token:
aws ssm put-parameter --name "/backlog-snyk-cicd/snyk-api-token" --value "YOUR_SNYK_TOKEN" --type SecureString --overwrite
2. Update Backlog Git SSH private key:
aws ssm put-parameter --name "/backlog-snyk-cicd/backlog-git-ssh-key" --value "$(cat ~/.ssh/id_rsa_backlog)" --type SecureString --overwrite
3. Configure Backlog webhook:
URL: https://xxxxxxxxx.execute-api.us-east-1.amazonaws.com/dev/webhook
Method: POST
Event: Push
4. Configure Amazon Q Developer for Slack notifications:
a. Open Amazon Q Developer console: https://console.aws.amazon.com/chatbot/
b. Click "Configure new client" → Select "Slack"
c. Authorize your Slack workspace
d. Create a channel configuration:
- Channel name: Select your Slack channel
- IAM Role: Create a new role or use existing (ReadOnlyAccess recommended)
- SNS Topics: Add arn:aws:sns:us-east-1:your-aws-account:backlog-snyk-cicd-snyk-notifications
- Region: us-east-1
e. Save the configuration
f. Test by running: aws codebuild start-build --project-name backlog-snyk-cicd-snyk-scan
EOT
sns_topic_arn = "arn:aws:sns:us-east-1:your-aws-account:backlog-snyk-cicd-snyk-notifications"
snyk_token_parameter_name = "/backlog-snyk-cicd/snyk-api-token"
webhook_url = "https://xxxxxxxxx.execute-api.us-east-1.amazonaws.com/dev/webhook"
SSMパラメータストアへの登録
Terraformの実行後、SnykトークンとSSH秘密鍵をSSM Parameter Storeに登録します。
Snykトークンの登録
Snykのアカウント設定からAPIトークンを取得し、SSMに登録します。
マネジメントコンソールから設定してもよいですが、
以下でも設定できます。
aws ssm put-parameter \
--name "/backlog-snyk-cicd/snyk-api-token" \
--value "your-snyk-token" \
--type "SecureString" \
--overwrite
SSH秘密鍵の登録
aws ssm put-parameter \
--name "/backlog-snyk-cicd/backlog-git-ssh-key" \
--value "$(cat ~/.ssh/id_rsa_backlog)" \
--type "SecureString" \
--overwrite
Amazon Q Developer in chat applicationsの設定
Slackにメッセージ送信を行うため、Amazon Q Developer in chat applicationsを設定します。
AWSコンソールのAmazon Q Developer in chat applicationsページにアクセスし、Slackワークスペースを認証して設定を行います。
Slackの設定
Slackに通知を行うため、通知先のチャンネルにAmazon Qアプリケーションを追加します。
Slackのアプリ一覧からAmazon Qを検索し、
対象のチャンネルに追加します。
Backlog GitにWebhookを設定
Backlog Gitの設定からWebhook URLを設定します。
これで準備は整いました。
動作確認
リポジトリにコードをプッシュして、CodeBuildが実行されることを確認します。
Slack通知
Slack通知でサマリーを確認することができます。
Snyk Web UI
SnykのWeb UIにアクセスし、スキャン結果を確認します。
プロジェクト一覧から該当リポジトリを選択すると、検出された脆弱性の詳細を確認できます。
buildspecの以下の処理でWeb UIで確認できるようになります。
- echo "=== Sending results to Snyk Web UI ==="
- |
snyk monitor \
--project-name="${APP_DIR}" \
--org="${SNYK_ORG:-default}" \
--remote-repo-url="${REPO_PATH}/oss" \
--target-reference="$(git rev-parse --short HEAD 2>/dev/null || echo 'unknown')" \
|| echo "Failed to send dependency scan to Snyk"
2025/10/10のアップデートでCodeも--reportオプションを付けることでWeb UIで確認できるようになりました。
- echo "=== Sending Code results to Snyk Web UI ==="
- |
snyk code test --report \
--org="${SNYK_ORG:-default}" \
--project-name="${REPO_PATH}/code" \
--target-name="${REPO_PATH}/code" \
--target-reference="$(git rev-parse --short HEAD 2>/dev/null || echo 'unknown')" \
|| echo "Failed to send code scan to Snyk"
HTML
buildspecでは以下の処理でスキャン結果のHTMLをアーティファクトに含めています。
- echo "=== Generating HTML Reports ==="
- snyk-to-html -i snyk-opensource-report.json -o snyk-opensource-report.html || true
- snyk-to-html -i snyk-code-report.json -o snyk-code-report.html || true
Snykのスキャン結果をJSON形式で出力し、それをHTMLレポートに変換してS3バケットにアーティファクトとして保存しています。
Slack通知にはS3のリンクを含んでいますので、マネジメントコンソールからダウンロードして確認することができます。
CloudWatch Logs
CodeBuildのCloudwatch Logsでも確認できます。
さいごに
BacklogのWebhook機能とAWSサービスを組み合わせることで、SnykによるセキュリティスキャンをBacklog Gitリポジトリに対して実行する仕組みを構築しました。
BacklogはCI/CD機能を持たないため、このようなアーキテクチャを活用することで、自動化処理を実現できます。
この記事がどなたかの参考になれば幸いです。
