Contrast CLIコマンド
以下は、CodeSec利用者およびエンタープライズユーザ(企業ユース)が利用できるContrast CLIコマンドの一覧です。
使用法：contrast [コマンド] [オプション]
認証/接続
CodeSec利用者の場合、GitHubまたはGoogleアカウントを使用して認証します。ログイン用の新しいブラウザ画面が開きます。
使用法：
contrast auth
Contrastのアカウントを既にお持ちの場合は、以下のauthコマンドを実行すると、認証情報がローカルに保存されます。
使用法：
contrast auth --api-key <your API key> --authorization <your authorization header> --host <your host domain> --organization-id <your organization ID>
そして、コマンドを使用してスキャンを開始します。
保存されている認証情報を表示します。
使用法：
contrast configオプション：
-c、--clear保存されている認証情報を削除します。
Contrast CLIのバージョンを表示します。
使用法：
contrast version
メイン機能
作業ディレクトリ内にある依存関係の設定ファイルを検索して依存関係のセキュリティ検査を実行し、結果を返します。
使用法：
contrast audit [オプション]オプション：
--fail検出されたCVEの深刻度に基づいて、ビルドを失敗させます。--severityオプションと一緒に使用します。例えば、contrast audit --fail --severity highです。深刻度を指定しない場合、すべての深刻度で失敗が返ります。失敗が検出された場合、CLIコマンドはコード2で終了します。
--file依存関係が宣言されているディレクトリまたはファイルを指定します(デフォルトでは、Contrast CLIによって現在のディレクトリ内でプロジェクトファイルが検索されます)。ディレクトリ内で複数のプロジェクトファイルが見つかった場合、監査するファイルを確認するプロンプトが表示されます。
エイリアス：
-f--ignore-dev検査結果から開発・試験用ライブラリの依存関係を除外します。デフォルトでは、全ての依存関係が結果に含まれます。
エイリアス：
-i--legacyContrast Webインターフェイスにアプリケーションを作成します(旧CLIのワークフロー)。コードの依存関係ツリーを表示し、メタデータを利用します。これは、Contrast CLI V2.0でのみ利用可能であることにご注意ください。
--saveSBOM(ソフトウェア部品表)をSPDXやCycloneDX形式で生成して保存します。有効なオプション：--save cyclonedx、--save spdx (CycloneDX形式がデフォルト)
エイリアス：
-s--severityビルドを失敗させるCVEの最低レベルの深刻度を指定します。--failオプションと一緒に使用します。例えば、contrast audit --fail --severity highです。深刻度は、critical、high、medium、low、またはnoteです。
--trackデフォルトでは、結果は保持・保存されないため、コンソールでローカルチェックを行うことになります。
--trackフラグを追加すると、Contrast Webインターフェイスのライブラリページにある静的タブに、プロジェクトのSCA結果を表示できます。これは、Contrast CLI V2.0でのみ利用可能使用であることにご注意ください。
詳細オプション：
--api-keyエンタープライズユーザには必須です。Contrastで提供されるエージェントのAPIキーを指定します。キーの検索方法については、エージェントキーを参照してください。
--application-idContrastに登録されているアプリケーションのIDを指定します。
--application-nameContrastに登録されているアプリケーションの名前です。
--app-groupsアプリケーションのオンボーディング時に、1つ以上の既存のグループにアプリケーションを割り当てます。グループリストは、カンマで区切る必要があります。
--authorizationエンタープライズユーザには必須です。Contrastで提供される認証ヘッダーです。
--codeContrastでアプリケーションに使用するアプリケーションコードです。
--hostエンタープライズユーザには必須です。ホスト名を指定します。(例) https://app.contrastsecurity.com/
--maven-settings-pathmavenのsettings.xmlファイルのパスを表示します。
--metadataアプリケーションに関連付けるユーザ定義のメタデータを指定するための、キーと値のペアのセット(RFC 2253に準拠)を定義します。
--organization-idエンタープライズユーザには必須です。Contrastでの組織IDを指定します。IDの検索方法については、エージェントキーを参照してください。
--tagsアプリケーションにタグを適用します。タグは、カンマ区切りのリストとして書式設定する必要があります。(例) label1,label2,label3
プロキシの設定：
--cacertCaCert(認証局(CA)による証明書)ファイルのパスを表示します。
--certCert(証明書)ファイルのパスを表示します。
--cert-self-signedローカルインストールしたContrastオンプレミス(EOP)をご利用のお客様の場合、SSL証明書をバイパスして自己署名証明書を認識します。
--key証明書の鍵のパスを表示します。
--proxyプロキシサーバ経由の接続を許可します。認証が必要な場合は、ユーザ名とパスワード、プロトコル、ホスト、ポートを例のように指定します。(例) "http://username:password@<host>:<port>"
SASTスキャンを実行します。
使用法：
contrast scan [オプション]オプション：
--fail検出された脆弱性の深刻度に基づいて、ビルドを失敗させます。--severityオプションと一緒に使用します。例えば、contrast scan --fail --severity highです。深刻度を指定しない場合、すべての深刻度で失敗が返ります。失敗が検出された場合、CLIコマンドはコード2で終了します。
--fileスキャンするファイルのパスを指定します。ファイルが指定されていない場合は、Contrastはサポート対象ファイル(.jar、 .war、.js、.zipファイル)を作業ディレクトリ内で検索します。
エイリアス：
-f--hostエンタープライズユーザには必須です。ホスト名を指定します。(例) https://app.contrastsecurity.com/
--language有効な値：JAVA、JAVASCRIPT、DOTNET
エイリアス：
-l--nameContrastのプロジェクト名を指定します。指定されていない場合、Contrastはcontrast.settingsを使用してプロジェクトを識別するか、プロジェクトを作成します。
エイリアス：
-n--save検出結果をSARIF(Static Analysis Results Interchange Format)ファイルでダウンロードします。ファイルは、デフォルトの名前のresults.sarifで現在の作業ディレクトリにダウンロードされます。このファイルは、任意のテキストエディタで表示できます。
エイリアス：
-s--severityビルドを失敗させる脆弱性の最低レベルの深刻度を指定します。--failオプションと一緒に使用します。例えば、contrast scan --fail --severity highです。深刻度は、critical、high、medium、low、またはnoteです。
--timeoutスキャンが完了するまでの待機時間(wait)を秒数で指定します。デフォルトの値は、300秒です。
エイリアス：
-t
詳細オプション：
--api-keyエンタープライズユーザには必須です。Contrastで提供されるエージェントのAPIキーを指定します。キーの検索方法については、エージェントキーを参照してください。
--authorizationエンタープライズユーザには必須です。Contrastで提供される認証ヘッダーです。
-ffファイア・アンド・フォーゲット(Fire-&forget)。実行させておくだけで、結果を監視・待つ必要がありません。
--hostエンタープライズユーザには必須です。ホスト名を指定します。(例) https://app.contrastsecurity.com/
--labelスキャンにラベルを付けます。デフォルトは、CLIツールで開始した日付[現在の日付]です。
--organization-idエンタープライズユーザには必須です。Contrastでの組織IDを指定します。IDの検索方法については、エージェントキーを参照してください。
--project-idスキャンプロジェクトに関連付けられたIDです。IDは、Contrast Webインターフェイスでスキャンプロジェクトを選択した際のURLにある最後の文字列です。
プロキシの設定：
--cacertCaCert(認証局(CA)による証明書)ファイルのパスを表示します。
--certCert(証明書)ファイルのパスを表示します。
--cert-self-signedローカルインストールしたContrastオンプレミス(EOP)をご利用のお客様の場合、SSL証明書をバイパスして自己署名証明書を認識します。
--key証明書の鍵のパスを表示します。
--proxyプロキシサーバ経由の接続を許可します。認証が必要な場合は、ユーザ名とパスワード、プロトコル、ホスト、ポートを例のように指定します。(例) "http://username:password@<host>:<port>"
AWS Lambda関数をスキャンします。スキャンするAWS Lambdaの関数名を指定してください。
使用法：
contrast lambda --function-name <関数名> [オプション]エイリアス：
-fオプション：
--endpoint-urlAWSエンドポイントを上書きします。AWS CLIと同様です。
エイリアス：
-e--regionAWSリージョンを上書きします。デフォルトは、AWS_DEFAULT_REGIONです。AWS CLIと同様です。
エイリアス：
-r--profileAWSの設定プロファイルを上書きします。AWS CLIと同様です。
エイリアス：
-p--json人が判読できるデフォルトのフォーマットではなく、レスポンスをJSON形式で返します。
エイリアス：
-j-–verboseターミナルに詳細情報を返します。
エイリアス：
-v--list-functionsスキャン可能なLambda関数を一覧表示します。
-–help使用方法を表示します。
エイリアス：
-h
プロキシの設定：
--cacertCaCert(認証局(CA)による証明書)ファイルのパスを表示します。
--certCert(証明書)ファイルのパスを表示します。
--cert-self-signedローカルインストールしたContrastオンプレミス(EOP)をご利用のお客様の場合、SSL証明書をバイパスして自己署名証明書を認識します。
--key証明書の鍵のパスを表示します。
--proxyプロキシサーバ経由の接続を許可します。認証が必要な場合は、ユーザ名とパスワード、プロトコル、ホスト、ポートを例のように指定します。(例) "http://username:password@<host>:<port>"
ヘルプと学習コンテンツ
使用方法を表示します。CLIコマンドの詳細なヘルプを一覧表示 するには、-hか--helpフラグをコマンドに追加します。
使用法：
contrast scan --helpエイリアス：
-h
ContrastのSecure Codeラーニングハブを表示します。
使用法：
contrast learn