SonarQube — ZIP（ローカルインストール）による導入・実行・確認

1. 前提条件

2. 導入方法 — ZIP からのインストール

SonarQube のダウンロードと展開

1. ZIP ファイルをダウンロード
   SonarQube ダウンロードページ から Community Edition の ZIP をダウンロードします。
2. 任意のディレクトリに展開する
   bash（Linux / macOS）

   📋 コピー

   # 展開先の例（/opt/sonarqube）
   sudo unzip sonarqube-10.x.x.zip -d /opt/
   sudo mv /opt/sonarqube-10.x.x /opt/sonarqube
   
   # 実行ユーザーを作成（root では実行不可）
   sudo useradd -r -s /bin/false sonar
   sudo chown -R sonar:sonar /opt/sonarqube

3. データベースの設定（PostgreSQL を使う場合）
   bash — PostgreSQL セットアップ

   📋 コピー

   # PostgreSQL へログイン
   sudo -u postgres psql
   
   -- ユーザー・データベースを作成
   CREATE USER sonar WITH ENCRYPTED PASSWORD 'sonar';
   CREATE DATABASE sonarqube OWNER sonar;
   GRANT ALL PRIVILEGES ON DATABASE sonarqube TO sonar;
   \q

4. sonar.properties を編集する
   properties — /opt/sonarqube/conf/sonar.properties（抜粋）

   📋 コピー

   # PostgreSQL を使う場合は以下のコメントを解除して設定
   sonar.jdbc.username=sonar
   sonar.jdbc.password=sonar
   sonar.jdbc.url=jdbc:postgresql://localhost/sonarqube
   
   # Web サーバーのポート変更が必要な場合
   # sonar.web.port=9000

5. SonarQube を起動する
   bash（Linux）

   📋 コピー

   # 起動
   sudo -u sonar /opt/sonarqube/bin/linux-x86-64/sonar.sh start
   
   # ステータス確認
   sudo -u sonar /opt/sonarqube/bin/linux-x86-64/sonar.sh status
   
   # ログ確認（起動に 1〜2 分かかる）
   tail -f /opt/sonarqube/logs/sonar.log

   PowerShell（Windows）

   📋 コピー

   # Windows の場合（管理者権限の PowerShell で実行）
   cd C:\sonarqube\bin\windows-x86-64
   .\StartSonar.bat

6. 初期ログインとトークン発行
   http://localhost:9000 を開き、 admin / admin でログイン後にパスワードを変更します。 「Create a local project」でプロジェクトを作成し、解析用トークンを発行します。

systemd サービス登録（Linux 本番環境）

[Unit]
Description=SonarQube service
After=network.target

[Service]
Type=forking
ExecStart=/opt/sonarqube/bin/linux-x86-64/sonar.sh start
ExecStop=/opt/sonarqube/bin/linux-x86-64/sonar.sh stop
User=sonar
Group=sonar
Restart=always
LimitNOFILE=65536
LimitNPROC=4096

[Install]
WantedBy=multi-user.target

sudo systemctl daemon-reload
sudo systemctl enable sonarqube
sudo systemctl start sonarqube

3. 実行基準 — Quality Gate / Quality Profile

Quality Profile（ルールセット）と Quality Gate（合否判定の閾値）の設定は Docker 版と同一です。 Administration メニューから設定します。

4. SonarScanner のインストール

SonarQube 本体とは別に、コードを送信する SonarScanner をインストールします。

# SonarScanner をダウンロード・展開（バージョンは最新版に変更してください）
wget https://binaries.sonarsource.com/Distribution/sonar-scanner-cli/sonar-scanner-cli-6.x.x-linux-x64.zip
unzip sonar-scanner-cli-6.x.x-linux-x64.zip -d /opt/
ln -s /opt/sonar-scanner-6.x.x-linux-x64 /opt/sonar-scanner

# PATH に追加
echo 'export PATH="$PATH:/opt/sonar-scanner/bin"' >> ~/.bashrc
source ~/.bashrc

# 確認
sonar-scanner --version

5. 実行方法 — SonarScanner の実行

sonar-project.properties の配置

sonar.projectKey=my-project
sonar.projectName=My Project
sonar.projectVersion=1.0

sonar.sources=src/main/java
sonar.tests=src/test/java
sonar.java.binaries=target/classes

# JaCoCo カバレッジレポート
sonar.coverage.jacoco.xmlReportPaths=target/site/jacoco/jacoco.xml

sonar.sourceEncoding=UTF-8

SonarScanner の実行

# プロジェクトルートで実行
sonar-scanner \
  -Dsonar.host.url=http://localhost:9000 \
  -Dsonar.token=<発行したトークン>

sonar-scanner.bat `
  -D"sonar.host.url=http://localhost:9000" `
  -D"sonar.token=<発行したトークン>"

6. 実行後の確認

解析完了後、http://localhost:9000 のプロジェクト画面で結果を確認します。

問題の深刻度

7. 確認後の対応

1. BLOCKER / CRITICAL から対処する
   Issues 画面で Severity フィルターを使い、優先度の高い問題から修正します。 各 Issue には「Why is this an issue?」として原因と修正例が提示されます。
2. 誤検知をマークする
   意図的な実装・誤検知と判断した Issue は「Won't Fix」または「False Positive」に変更し、理由をコメントします。
3. Security Hotspots をレビューする
   各 Hotspot を確認し、問題なければ「Safe」、修正が必要なら「To fix」に変更します。
4. 再解析して Quality Gate を確認する
   コード修正後に再度 sonar-scanner を実行し、Quality Gate が Passed になることを確認します。

除外設定

# 解析対象の除外（自動生成コード・テストクラスなど）
sonar.exclusions=**/generated/**,**/vendor/**

# カバレッジ計測の除外
sonar.coverage.exclusions=**/entity/**,**/dto/**,**/config/**

8. まとめ