Claude Media
Claude CodeにOpsera DevSecOpsプラグインを入れてスキャンを回す
Claude Codeチュートリアル

Claude CodeにOpsera DevSecOpsプラグインを入れてスキャンを回す

Opsera DevSecOpsプラグインの導入、OAuth認証、4つのスラッシュコマンド、コミット前に走るセキュリティゲートの挙動を解説します。

読了目安 約8分

Opsera DevSecOpsは、Claude Codeの中からセキュリティスキャンとコンプライアンス監査を呼び出すプラグインです。提供元はOpseraで、中身はOpseraのクラウド上のMCPサーバーに接続する薄いラッパーです。コマンドは4つ、加えてコミット前に自動でスキャンを挟むゲートが入ります。

Opsera DevSecOpsプラグインは何ができるか

プラグインが公開しているツールは4つです。各ツールにスラッシュコマンドと、文脈に応じてClaudeが自動で呼ぶスキルが対応します。

コマンドできること
/architecture-analyzeできること認証ルートの検証、障害モードの検出、定量化したアーキテクチャ図つきのリスク分析
/security-scanできること脆弱性スキャン、シークレット検出、SAST、コンテナ、IaCのチェック
/compliance-auditできることSOC2、HIPAA、PCI-DSS、ISO 27001に対する証跡ベースの監査と是正ロードマップ
/sql-securityできることSQLインジェクション検出、PII(個人情報)の発見、準拠の検証、権限分析、AIによる自動修正

READMEによると、この4ツールはOpseraの無料トライアルに含まれ、追加のツールは今後のバージョンで増える予定です。CHANGELOGに載っているバージョンは2026年3月8日付の1.0.0だけで、4ツールとテレメトリ報告、MCPサーバーの自動インストールが初回の内容でした。

導入から認証までの手順

導入経路は2つあります。Claude Codeのマーケットプレイスから入れる方法と、GitHubリポジトリをマーケットプレイスとして追加する方法です。

/plugin marketplace add opsera-agents/opsera-devsecops
/plugin install opsera-devsecops@opsera-devsecops

READMEのマーケットプレイス向け手順には /install opsera-devsecops と書かれています。Claude Codeのプラグイン導入は /plugin install <plugin>@<marketplace> の形で、セッション内ではプラグインの詳細パネルが開き、スコープを選んでから入れる流れです。/install が通らない環境では、上の2行を使うのが確実です。

入れたら認証します。接続先はプラグインの .mcp.json に書かれたHTTP型のMCPサーバー(https://agent.opsera.ai/mcp)で、認証はAPIトークンではなくOAuthです。

/mcp

/mcp を開いてopseraを選ぶとブラウザが立ち上がり、ログインを終えるとトークンがシステムのキーチェーンに保存されます。READMEには自動更新されるとあります。必要なのはOpseraのアカウントで、無料トライアルはagent.opsera.aiから登録します。プラグインの導入手順そのものはプラグインとマーケットプレイスの解説にもまとめています。

4つのコマンドを使い分ける

コマンドは実行時にいくつか質問してきます。事前に答えを用意しておくと、やり取りが短く済みます。

入力項目

コマンドごとに聞かれること

  • /security-scan

    スキャン対象のパス、スキャン種別(full / secrets / vulnerabilities / sast / containers / iac)、重大度のしきい値(critical / high / medium / all)を聞かれます。結果はMarkdownとHTMLのレポートで出ます。

  • /compliance-audit

    監査するフレームワークとして、SOC2、HIPAA、PCI-DSS、ISO 27001、または全部を選びます。出力は関係者に渡しやすいHTML形式です。

  • /sql-security

    実行する操作を選びます。scan、pii、compliance、fix、privilegesの5種類です。

  • /architecture-analyze

    コマンド定義には事前の質問が書かれておらず、リポジトリの構造を対象にリスク中心の分析が走ります。

コマンドを打たなくても、「このリポジトリの脆弱性をスキャンして」「SOC2に準拠しているか」「SQLファイルのインジェクションリスクを見て」と頼めばエージェントが適切なツールを選びます。READMEにこの使い方が例示されています。

アーキテクチャ解析・セキュリティスキャン・コンプライアンス監査の3つは、複数回に分けて実行する段階型のツールです。スキルの定義には、実行IDと各フェーズの結果を引き継いで続きを呼ぶ流れが書かれています。そのため1回の依頼の中で、Claudeがツールを複数回呼ぶことがあります。

コミット前のセキュリティゲートはどう動くか

このプラグインでいちばん挙動を知っておきたいのが、git commit を止めるゲートです。マーケットプレイスの説明では、ステージした変更を自動でスキャンし、重大度がcriticalまたはhighの問題があるコミットをブロックするとあります。仕組みはフックとして実装されています。

手順

ゲートがコミットを通すまでの流れ

  1. 1

    コミットコマンドを検知する

    Bashツールの実行前に走るPreToolUseフックが、コマンドに git commit が含まれるかを見ます。git add や git status は素通りです。

  2. 2

    通過フラグを確認する

    /tmp/.opsera-pre-commit-scan-passed というフラグファイルが5分以内に作られていれば、フラグを消してコミットを通します。

  3. 3

    なければ終了コード2でブロックする

    フラグがなければメッセージを標準エラーに出し、終了コード2で終わります。PreToolUseフックの終了コード2はツール呼び出しそのものを止める動作で、標準エラーの内容がClaudeに渡されます。

  4. 4

    Claudeがスキャンを実行する

    メッセージにはリポジトリ全体を対象に security-scan を scan_type="pre-commit" で呼ぶこと、手動のコードレビューで代用しないことが指示されています。

  5. 5

    新規の指摘だけでコミットの可否を決める

    git diff --cached で追加・変更された行を特定し、指摘を「今回の変更行にあるもの」と「既存のもの」に振り分けます。

判定の分かれ目は、この最後の振り分けです。ステージした変更行にcriticalかhighの指摘があればコミットを止め、修正手順を示してユーザーに進め方を聞きます。指摘がすべて既存コード側にある場合は、警告を表示したうえでフラグを作り、コミットを再試行します。古い負債が残るリポジトリでも、新しく書いた行だけを基準に止められる設計です。

スキルの定義には、ユーザーが「skip scan」や「force commit」と伝えればゲートを解除してコミットを通す、とも書かれています。ゲートの強制力は、フックの終了コード2とClaudeへの指示文の組み合わせに依存しています。人が介在しないCIの代わりにはならないため、そちらには別のチェックが要ります。

フック全般の仕組みはClaude Code Hooks完全ガイドで整理しています。フックに慣れていれば、このゲートの設計は読みやすいはずです。

導入前に確認しておきたい点

権限プロンプトの表記が2種類ある

プラグイン同梱の settings.json は、事前承認するツールとして mcp__opsera__security-scan のような名前を並べています。一方、コミットゲートのフックが呼ばせるツール名は mcp__plugin_opsera-devsecops_opsera__security-scan です。Claude Codeでは、プラグインが持つMCPサーバーのツールは mcp__plugin_<プラグイン名>_<サーバー名>__<ツール名> の形で呼ばれます。

2つの表記が一致しない場合、初回に承認の確認が出ることが考えられます。毎回確認が出て煩わしいときは、自分の settings.json に後者の形式で許可を書く方法があります。ただし、この食い違いが実際にどう働くかは手元で試して確かめてください。

{
  "permissions": {
    "allow": [
      "mcp__plugin_opsera-devsecops_opsera__security-scan"
    ]
  }
}

コードがどこで解析されるか

マーケットプレイスのページには、ソースコードは送信されず、匿名の利用メタデータだけがOpseraの分析ダッシュボードに報告されると書かれています。READMEのTelemetry節も同じ説明です。報告されるのはセキュリティ態勢、コンプライアンスの傾向、是正の進み具合といった情報です。

一方で、スキャン自体がOpseraのクラウド上のMCPサーバー経由で動くこと、そのときリポジトリ内のどんな情報がサーバーに渡るかは、READMEにも説明ページにも詳しい記載がありません。機密性の高いリポジトリに使う前に、データの扱いをOpseraのサポート(support@opsera.io)に確認するのが確実です。

また、エージェント定義とすべてのスキルには、ツールを実行するたびにテレメトリ報告を呼ぶ規則が入っています。報告は任意ではなく、プラグインの動作に組み込まれています。

セキュリティスキャンの一般的な位置づけ

Anthropic自身も、スキルやプラグインのセキュリティスキャンをEnterprise向けに始めています。そちらは配布されるスキル・プラグインの安全性を見る機能で、Opseraのように自分のコードを検査する目的とは対象が違います。違いはスキル・プラグインのセキュリティスキャンの解説にまとまっています。

動作要件とライセンス

必要なのはClaude Code CLIとOpseraのアカウントです。ライセンスはApache-2.0で、サポート窓口はagent.opsera.aiのWebサイト、GitHubのIssues、メールの3つです。プラグインの構成はエージェント定義、スキル5つ(4ツール分とコミット前スキャン)、コマンド4つ、フックで、ビルドやテストの手順を持たない内容だけのプラグインです。ロジックはすべてOpseraのMCPサーバー側にあります。

自分のプロジェクトで使い始める順番

最初から全部を回さず、小さく始めるほうが結果を読みやすくなります。

  1. 認証が終わったら、/security-scan を重大度しきい値 high で一度回す
  2. 出た指摘の再現性を確認する。同じ指摘が既存コードにあるのか、新規かを見る
  3. コミットゲートの挙動を、小さな変更で試す
  4. 規制対応が必要な案件だけ /compliance-audit を使う
  5. SQLを多く書くプロジェクトで /sql-security の scan と pii を試す

CLAUDE.mdにプロジェクトのセキュリティ方針を書いておくと、Claudeが指摘を直すときの判断基準になります。CLAUDE.mdを点検する手段はclaude-md-managementプラグインの手順にあります。

この記事を共有:XはてブLinkedIn

関連する記事

Claude Code をもっと見る →