SonarQube — Docker による導入・実行・確認

1. SonarQube とは

SonarQube は、ソースコードの静的解析を行うオープンソースのコード品質管理プラットフォームです。 バグ・セキュリティ脆弱性・コードスメル（技術的負債）・カバレッジを一元管理し、 継続的インテグレーション（CI）パイプラインに組み込むことでコード品質の維持・向上を支援します。

2. 前提条件

3. 導入方法 — Docker Compose セットアップ

SonarQube と PostgreSQL を Docker Compose で起動します。 データの永続化にはボリュームを使用します。

ディレクトリ構成

mkdir sonarqube-docker && cd sonarqube-docker

docker-compose.yml

services:
  sonarqube:
    image: sonarqube:10-community        # Community Edition（最新 LTS を推奨）
    container_name: sonarqube
    depends_on:
      - db
    environment:
      SONAR_JDBC_URL: jdbc:postgresql://db:5432/sonar
      SONAR_JDBC_USERNAME: sonar
      SONAR_JDBC_PASSWORD: sonar
    volumes:
      - sonarqube_data:/opt/sonarqube/data
      - sonarqube_extensions:/opt/sonarqube/extensions
      - sonarqube_logs:/opt/sonarqube/logs
    ports:
      - "9000:9000"
    restart: unless-stopped

  db:
    image: postgres:15
    container_name: sonarqube_db
    environment:
      POSTGRES_USER: sonar
      POSTGRES_PASSWORD: sonar
      POSTGRES_DB: sonar
    volumes:
      - postgresql_data:/var/lib/postgresql/data
    restart: unless-stopped

volumes:
  sonarqube_data:
  sonarqube_extensions:
  sonarqube_logs:
  postgresql_data:

起動と初期ログイン

1. コンテナを起動する
   bash

   📋 コピー

   docker compose up -d
   
   # 起動ログを確認（SonarQube の起動には 1〜2 分かかる）
   docker compose logs -f sonarqube

2. ブラウザでアクセス
   http://localhost:9000 を開き、 初期ユーザー admin / パスワード admin でログインします。 ログイン後、パスワード変更を求められるので必ず変更してください。
3. プロジェクトを作成する
   ログイン後、「Create a local project」を選択し、プロジェクトキー・表示名を入力します。
4. トークンを発行する
   「Generate a token」で解析用トークンを発行し、メモしておきます（後でScannerに使用）。

4. 実行基準 — Quality Gate / Quality Profile

Quality Profile

Quality Profile は、言語ごとに適用する静的解析ルールセットです。 デフォルトは Sonar way（SonarSource 推奨ルールセット）が設定されています。

Quality Gate

Quality Gate は、解析結果がパス / 失敗を判定する閾値の定義です。 CI/CD パイプラインではこの判定を使ってデプロイの可否を制御します。

5. 実行方法 — SonarScanner の実行

Docker 内の SonarQube に対して、SonarScanner（別途インストール）でコードを送信・解析します。 SonarScanner も Docker で実行できます。

sonar-project.properties の作成

プロジェクトルートに sonar-project.properties を配置します。

# プロジェクトの識別子（SonarQube UI で設定したキーと一致させる）
sonar.projectKey=my-project
sonar.projectName=My Project
sonar.projectVersion=1.0

# ソースコードのパス（複数指定はカンマ区切り）
sonar.sources=src/main/java
sonar.tests=src/test/java

# Java の場合：コンパイル済みクラスファイルのパス
sonar.java.binaries=target/classes

# テストカバレッジレポート（JaCoCo を使用する場合）
sonar.coverage.jacoco.xmlReportPaths=target/site/jacoco/jacoco.xml

# 文字コード
sonar.sourceEncoding=UTF-8

Docker で SonarScanner を実行

# プロジェクトルートで実行
docker run --rm \
  --network host \
  -e SONAR_HOST_URL="http://localhost:9000" \
  -e SONAR_TOKEN="<発行したトークン>" \
  -v "$(pwd):/usr/src" \
  sonarsource/sonar-scanner-cli:latest

JaCoCo カバレッジの事前取得（Java / Maven の場合）

# Maven でテスト実行 + JaCoCo レポート生成
mvn clean verify

# 上記完了後に SonarScanner を実行
docker run --rm \
  --network host \
  -e SONAR_HOST_URL="http://localhost:9000" \
  -e SONAR_TOKEN="<発行したトークン>" \
  -v "$(pwd):/usr/src" \
  sonarsource/sonar-scanner-cli:latest

6. 実行後の確認

解析完了後、SonarQube UI（http://localhost:9000）でプロジェクトを開き、以下の観点で結果を確認します。

Quality Gate ステータスの確認

プロジェクトの概要画面上部に Passed（緑）または Failed（赤）が表示されます。 Failed の場合は、どの条件で失敗しているかを確認します。

問題の深刻度（Severity）

確認すべき主要メトリクス

7. 確認後の対応

Issues の対応フロー

1. BLOCKER / CRITICAL を優先対処
   Issues 画面でSeverity = BLOCKER / CRITICAL に絞り込み、該当行のコードを修正します。 SonarQube は修正方法（Why is this an issue？）と例を提示するので参考にします。
2. 誤検知（False Positive）のマーク
   意図的なコードや誤検知と判断した Issue は「Won't Fix」または「False Positive」にマークします。 理由をコメントとして記録しておくと後のレビューで役立ちます。
3. Security Hotspots のレビュー
   Hotspot を1件ずつ確認し、脆弱性がなければ「Safe」にマーク、問題があれば「To fix」にして修正します。
4. 修正後に再解析して結果を確認
   コードを修正後、再度 SonarScanner を実行し、Quality Gate が Passed になることを確認します。

運用上のポイント

# 解析対象から除外するパターン（自動生成コード・外部ライブラリなど）
sonar.exclusions=**/generated/**,**/vendor/**,**/*Test.java

# テストカバレッジの除外（エンティティクラス・設定クラスなど）
sonar.coverage.exclusions=**/entity/**,**/config/**,**/dto/**

8. まとめ