bridgecrewio/checkov

これは何？

主な機能

• 01AWS、Azure、Google Cloudの設定ミスを検出する組み込みポリシー。
• 02Terraform、CloudFormation、Kubernetes、Helm、Kustomize、Dockerfile、Bicep、ARM、多数のCIワークフロー形式をスキャン。
• 03コンテナイメージとオープンソースパッケージを対象とするソフトウェア構成分析。
• 04AWS認証情報などのシークレットや、エントロピーの高い文字列を検出。
• 05許容する検出結果を管理するためのインラインスキップコメントと、CLIの許可・拒否リスト。
• 06結果をCLI、JSON、JUnit XML、CSV、SARIF、CycloneDX形式でエクスポート。

ユースケース

• terraform applyの前に、CIパイプラインで安全でないクラウドリソース定義をブロックする。
• KubernetesマニフェストやHelmチャートを確認し、コンテナ設定に潜むリスクを検出する。
• ビルド時にコンテナイメージと依存関係をスキャンして、既知のCVEを検出する。
• コンプライアンスやコードスキャンのダッシュボード向けに、SARIFまたはJUnitレポートを生成する。

クイックスタート

1. 1

   pipでCheckovをインストールする

   pip3 install checkov
2. 2

   Infrastructure as Codeのディレクトリをスキャンする

   checkov --directory /user/path/to/iac/code

使う前に知っておきたいこと

• !Python 3.9～3.12が必要です。
• !--checkの重大度フィルターやコンテナイメージのスキャンなど、一部の機能にはBridgecrew/Prisma CloudのAPIキーが必要です。

トピック

よくある質問

checkov とは？

IaC、コンテナイメージ、オープンソースパッケージを静的解析し、クラウドの設定ミスやCVEを検出するツール。 CheckovはTerraform、CloudFormation、Kubernetesマニフェスト、Helmチャート、Dockerfile、GitHub ActionsワークフローなどのInfrastructure as Codeファイルを、AWS、Azure、Google Cloudを対象とする1,000以上の組み込みポリシーに照らしてチェックします。デプロイ前に実行するため、公開状態のストレージバケットや暗号化されていないリソースといった設定ミスを、ビルド時やCIで検出できます。

checkov は無料で使えますか？ライセンスは？

checkov は Apache-2.0 ライセンスのオープンソースです。商用製品で使う前にライセンス条件を確認してください。

checkov は今もメンテナンスされていますか？

活発にメンテナンス中。checkov の最終コミットは 2026年10月20日 です。

checkov は何に使えますか？

terraform applyの前に、CIパイプラインで安全でないクラウドリソース定義をブロックする。 KubernetesマニフェストやHelmチャートを確認し、コンテナ設定に潜むリスクを検出する。 ビルド時にコンテナイメージと依存関係をスキャンして、既知のCVEを検出する。 コンプライアンスやコードスキャンのダッシュボード向けに、SARIFまたはJUnitレポートを生成する。

checkov のインストール方法は？

pipでCheckovをインストールする: pip3 install checkov Infrastructure as Codeのディレクトリをスキャンする: checkov --directory /user/path/to/iac/code

checkov はどこで入手できますか？

ソースコードとインストール手順は GitHub にあります：https://github.com/bridgecrewio/checkov