Fedramp20xmcp

🚀 FedRAMP 20x MCP サーバー

このサーバーは、FedRAMP 20xのセキュリティ要件と制御にアクセスできるMCP（Model Context Protocol）サーバーです。Azureを第一に考慮したガイダンスを備えています。

🚀 クイックスタート

このサーバーは、公式のFedRAMPドキュメントリポジトリからFedRAMP 20xのデータを読み込み、制御、ファミリー、またはキーワードで要件を照会するためのツールを提供します。

✨ 主な機能

• 🎯 自動エビデンス収集 (NEW): すべての65のアクティブなKSIに対するAzureネイティブサービスを用いた完全な自動化ガイダンス、すぐに使用できるクエリ、およびアーティファクト仕様を提供します。
• 制御による照会: 特定のFedRAMP要件に関する詳細情報を取得します。
• ファミリーによる照会: ファミリー内のすべての要件をリストします。
• キーワード検索: すべての要件をキーワードで検索します。
• FedRAMP定義: 公式のFedRAMP用語定義を検索します。
• 重要セキュリティ指標: 実装状況を含むFedRAMP重要セキュリティ指標（KSI）にアクセスし、照会します。
• ドキュメント検索: 公式のFedRAMPドキュメントのマークダウンファイルを検索し、取得します。
• 動的コンテンツ: すべてのマークダウンドキュメントファイルを自動的に検出し、読み込みます。
• 実装計画: プロダクトマネージャーとエンジニアがFedRAMP 20xの実装に関する考慮事項を考えるのに役立つ戦略的な面接質問を生成します。
• ASTベースのコード分析: tree - sitterを使用した高度な抽象構文木解析により、Python、C#、Java、TypeScript/JavaScript、Bicep、およびTerraformを対象とした正確でコンテキストを考慮したセキュリティ分析を行います。
• セマンティック分析: シンボル解決、制御フロー分析、および手続き間分析機能による深いコード理解を提供します。
• 🚀 パターンベースのアーキテクチャ: 23の要件ファミリーにまたがる381のYAMLパターンを持つ統一された分析エンジンで、すべてのKSIとFRRの包括的なコンプライアンスチェックを提供します。
• パターンエンジン: 14の言語に対する宣言的なYAML駆動型の検出を行い、ASTを中心とした分析とインテリジェントな検出分類を提供します。

📦 インストール

前提条件

• Python 3.10以上
• pip（Pythonに含まれています）
• PythonがシステムのPATHに含まれている必要があります。

セットアップ

# リポジトリをクローン
git clone https://github.com/KevinRabun/FedRAMP20xMCP.git
cd FedRAMP20xMCP

# 仮想環境を作成してインストール
python -m venv .venv
source .venv/bin/activate  # Windowsの場合は: .venv\Scripts\activate
pip install -e .

# uv（代替パッケージマネージャー）を使用する場合:
uv pip install -e .

依存関係:

• mcp>=1.2.0 - Model Context Protocol SDK
• httpx>=0.27.0 - FedRAMPデータを取得するためのHTTPクライアント
• openpyxl>=3.1.0 - エクスポート機能のためのExcelファイル生成
• python - docx>=1.1.0 - KSI仕様のためのWordドキュメント生成
• tree - sitter>=0.21.0 - コード分析のためのAST解析ライブラリ
• tree - sitter - python>=0.21.0 - tree - sitterのPython言語バインディング
• tree - sitter - c - sharp>=0.21.0 - tree - sitterのC#言語バインディング
• tree - sitter - java>=0.21.0 - tree - sitterのJava言語バインディング
• tree - sitter - javascript>=0.21.0 - JavaScript/TypeScript言語バインディング

トラブルシューティング:

問題が発生した場合は、[詳細なセットアップガイド](docs/ADVANCED - SETUP.md#troubleshooting)を参照してください。

💻 使用例

VS CodeとGitHub Copilotを使用する場合

1. VS Code MCP拡張機能をインストール（まだインストールされていない場合）

2. MCPサーバーを構成 - 以下のスコープのいずれかを選択します。

   オプションA: ワークスペースレベル（共有に推奨）

   プロジェクトの.vscode/mcp.jsonに以下を追加します。

   {
     "servers": {
       "fedramp - 20x - mcp": {
         "type": "stdio",
         "command": "python",
         "args": ["-m", "fedramp_20x_mcp"]
       }
     }
   }
   

   PythonがPATHに含まれていない場合、コマンドを仮想環境のPythonを使用するように更新します。

   {
     "servers": {
       "fedramp - 20x - mcp": {
         "type": "stdio",
         "command": "${workspaceFolder}/.venv/Scripts/python.exe",  // Windows
         // "command": "${workspaceFolder}/.venv/bin/python",       // macOS/Linux
         "args": ["-m", "fedramp_20x_mcp"]
       }
     }
   }
   

   オプションB: ユーザーレベル（すべてのプロジェクトでグローバル）

   VS Codeユーザー設定（settings.json）に以下を追加します。

   {
     "github.copilot.chat.mcp.servers": {
       "fedramp - 20x - mcp": {
         "type": "stdio",
         "command": "python",
         "args": ["-m", "fedramp_20x_mcp"]
       }
     }
   }
   

   セキュリティに関する注意: 設定で"alwaysAllow"を使用しないでください。初回使用時にVS Codeがパーミッションの付与を求めるプロンプトが表示されますが、これはセキュリティ上のベストプラクティスです。

3. オプション: VS Code設定を構成 .vscode/settings.json.exampleを.vscode/settings.jsonにコピーします。

4. VS Codeを再読み込みしてMCPサーバーを有効にします。

5. 初回使用時にVS Codeからパーミッションを付与します。

6. GitHub Copilot Chatで使用

   • Copilot Chatを開きます。
   • FedRAMP 20x要件に関する質問をします。
   • @workspaceを使用して特定の制御またはファミリーを照会します。
   • すべての48のツールと15の包括的なプロンプトにアクセスします。

Claude Desktopを使用する場合

このサーバーをClaude Desktopの設定（macOSでは~/Library/Application Support/Claude/claude_desktop_config.json、Windowsでは%APPDATA%\Claude\claude_desktop_config.json）に追加します。

{
  "mcpServers": {
    "fedramp - 20x": {
      "command": "uv",
      "args": [
        "--directory",
        "/absolute/path/to/FedRAMP20xMCP",
        "run",
        "fedramp - 20x - mcp"
      ]
    }
  }
}

注意: /absolute/path/to/FedRAMP20xMCPを実際のインストールパスに置き換えてください。

MCPインスペクターを使用する場合

MCPインスペクターを使用してサーバーをテストします。

npx @modelcontextprotocol/inspector python -m fedramp_20x_mcp

⚠️ Copilot実行ポリシー

このリポジトリは、すべてのAI支援コーディングに対して厳格な指示を使用しています。

詳細は[Copilot指示](./.github/copilot - instructions.md)を参照してください。

🔧 技術詳細

パターンベースの分析アーキテクチャ

このサーバーは、すべてのFedRAMP 20xコンプライアンス分析に対して統一されたパターンベースのアーキテクチャを使用しています。

アーキテクチャの概要:

• 23の要件ファミリーにまたがる381のYAMLパターン
• 単一の分析エンジン (GenericPatternAnalyzer) が271の従来のアナライザーに代わります。
• 14の言語をサポート: Python、C#、Java、TypeScript、JavaScript、Bicep、Terraform、GitHub Actions、Azure Pipelines、GitLab CI、YAML、JSON、Dockerfile、GitHub
• tree - sitterを使用したASTを中心とした検出で正確性を確保し、必要に応じて正規表現をフォールバックとして使用します。
• 宣言的なパターンで、保守と拡張が容易です。

ファミリー別のパターンカバレッジ:

• アプリケーションファミリー: ADS、AFR、CCM、CED、CMT、CNA、IAM、INR、MLA、PIY、RPL、RSC、SCN、SVC、TPR、UCM、VDR (17ファミリー)
• インフラストラクチャファミリー: COMMON、FSI、ICP、KSI、MAS、PVA (6ファミリー)
• 完全なKSIとFRRのマッピング: すべての72のKSIと199のFRRがパターン定義を通じてカバーされています。

動作原理:

1. パターンの読み込み: data/patterns/ディレクトリからYAMLパターンを読み込みます。
2. 分析の実行: tree - sitter AST解析とパターンマッチングを使用してコードを分析します。
3. 検出結果の生成: パターンによって重大度、説明、および対策を含む検出結果が生成されます。
4. 結果の集約: 検出結果は要件ファミリーごとにグループ化され、重複排除が行われます。

利点:

• ✅ 一貫性: すべての言語で同じ検出ロジックを使用します。
• ✅ 保守性: PythonコードではなくYAMLでパターンを更新します。
• ✅ パフォーマンス: パターンのコンパイルとキャッシュにより、分析速度が最適化されます。
• ✅ 拡張性: コードを変更せずに新しいパターンを追加できます。
• ✅ 正確性: ASTベースの検出により、誤検出が減少します。

重要な解説: OSCAL形式 FedRAMP 20xでは、認可データ共有に対して機械可読形式（JSON、XML、または構造化データ）が必要です。OSCALはFedRAMP 20x要件には言及されていません - これはNIST標準であり、1つの潜在的な実装アプローチとして使用できます。実際の要件は単に「機械可読」であり、実装ニーズに基づいてカスタムJSON/XMLまたはOSCALを使用することができます。

📄 ライセンス

MITライセンス - 詳細はLICENSEファイルを参照してください。

このプロジェクトはオープンソースであり、貢献を歓迎しています！ガイドラインについてはCONTRIBUTING.mdを参照してください。

FedRAMPデータは、米国総務省によってパブリックドメインのコンテンツとして提供されています。