Sonatype Dependency Management Mcp Server

Sonatype MCP サーバー

AI アシスタントを、Sonatype の依存関係管理およびセキュリティインテリジェンスプラットフォームに接続する Model Context Protocol（MCP）サーバーです。オープンソースのセキュリティ脆弱性、ライセンスコンプライアンス、依存関係の健全性に関するリアルタイムのインサイトを提供し、AI コーディングアシスタントを強化します。

概要

Sonatype MCP サーバーを使用すると、開発ワークフロー内で Sonatype の包括的な依存関係インテリジェンスに AI アシスタントから直接アクセスできます。Model Context Protocol と統合することで、AI アシスタントが依存関係について十分な情報に基づいた判断を下し、セキュリティリスクを特定し、コンプライアンスを維持できるようになります。IDE を離れる必要はありません。

主な機能

• コンポーネントのバージョン選択 - 寄り道することなく、最初から最適なバージョンを選択できます
• セキュリティ脆弱性のスキャン - プロジェクトの依存関係に含まれる既知の脆弱性を特定します
• ライセンスコンプライアンスの確認 - 依存関係が組織のライセンスポリシーに準拠していることを確認します
• 依存関係の健全性分析 - 依存関係の品質、メンテナンス状況、リスク要因に関するインサイトを取得します
• リアルタイムのセキュリティアドバイザリ - 依存関係に影響する最新のセキュリティ脅威を把握できます
• 修正ガイダンス - 脆弱性やコンプライアンス上の問題を修正するための、実行可能な推奨事項を受け取れます

前提条件

• IntelliJ など、stdio MCP サーバーのみをサポートする IDE やツールでは、mcp-remote をインストールしてください：

  npm install -g mcp-remote
  

セットアップ

Sonatype MCP サーバーはリモート MCP サーバーとして動作します。お使いの IDE または AI アシスタントに応じたセットアップ手順を選択してください：

Gemini Code Assist

https://guide.sonatype.com/settings/tokens で生成した個人用 API トークンで <your-token> を置き換えてください。

{
  "mcpServers": {
    "discoveredServer": {
      "httpUrl": "https://mcp.guide.sonatype.com/mcp",
      "headers": {
        "Authorization": "Bearer <your-token>"
      }
    }
  }
}

Claude Code

Claude CLI を使用してサーバーを追加します：

https://guide.sonatype.com/settings/tokens で生成した個人用 API トークンで <your-token> を置き換えてください。

claude mcp add --transport http --scope user sonatype-mcp https://mcp.guide.sonatype.com/mcp --header "Authorization: Bearer <your-token>"

VS Code Copilot

以下の設定をグローバル VS Code mcp.json に追加するか、ワークスペースに .vscode/mcp.json ファイルを作成してください：

https://guide.sonatype.com/settings/tokens で生成した個人用 API トークンで <your-token> を置き換えてください。

{
  "servers": {
		"sonatype-mcp": {
			"url": "https://mcp.guide.sonatype.com/mcp",
			"type": "http",
			"headers": {
				"Authorization": "Bearer <your-token>"
			}
		}
	}
}

Windsurf

~/.codeium/windsurf/mcp_config.json を作成または編集してください：

https://guide.sonatype.com/settings/tokens で生成した個人用 API トークンで <your-token> を置き換えてください。

{
  "mcpServers": {
    "sonatype-mcp": {
      "command": "npx",
      "args": [
        "mcp-remote",
        "https://mcp.guide.sonatype.com/mcp",
        "--header",
        "Authorization: Bearer <your-token>"
      ]
    }
  }
}

Junie を使用する IntelliJ

グローバルスコープ： IDE の設定 → Tools → Junie → MCP Settings に移動します。「+」をクリックして追加します：

プロジェクトスコープ： プロジェクトのルートに .junie/mcp/.mcp.json を作成します：

https://guide.sonatype.com/settings/tokens で生成した個人用 API トークンで <your-token> を置き換えてください。

{
  "mcpServers": {
    "sonatype-mcp": {
      "command": "npx",
      "args": [
        "mcp-remote",
        "https://mcp.guide.sonatype.com/mcp",
        "--header",
        "Authorization: Bearer <your-token>"
      ]
    }
  }
}

Kiro

~/.kiro/settings/mcp.json を作成または編集してください：

https://guide.sonatype.com/settings/tokens で生成した個人用 API トークンで <your-token> を置き換えてください。

{
  "mcpServers": {
    "sonatype-mcp": {
      "command": "npx",
      "args": [
        "mcp-remote",
        "https://mcp.guide.sonatype.com/mcp",
        "--header",
        "Authorization: Bearer <your-token>"
      ]
    }
  }
}

Cursor

Cursor はリモートサーバーを直接サポートしています。~/.cursor/mcp.json に追加してください：

https://guide.sonatype.com/settings/tokens で生成した個人用 API トークンで <your-token> を置き換えてください。

{
  "mcpServers": {
    "sonatype-mcp": {
      "type": "http",
      "url": "https://mcp.guide.sonatype.com/mcp",
      "headers": {
        "Authorization": "Bearer <your-token>"
      }
    }
  }
}

Codex（IDE プラグインおよび CLI）

以下のどちらの方法でも、https://guide.sonatype.com/settings/tokens で生成した個人用 API トークンを設定する環境変数 SONATYPE_GUIDE_MCP_TOKEN を定義してください。

方法 1： CLI コマンドを使用します：codex mcp add sonatype-mcp --url https://mcp.guide.sonatype.com/mcp --bearer-token-env-var SONATYPE_GUIDE_MCP_TOKEN

方法 2： ~/.codex/config.toml を作成または編集してください：

[mcp_servers.sonatype-mcp]
url = "https://mcp.guide.sonatype.com/mcp"
bearer_token_env_var = "SONATYPE_GUIDE_MCP_TOKEN"

認証

Sonatype MCP サーバーは API トークン認証を使用します：

1. Sonatype Guide アカウントを作成し、https://guide.sonatype.com/settings/tokens で個人用 API トークンを生成します
2. Authorization: Bearer <your-token> ヘッダー形式を使用して、MCP 設定にトークンを追加します
3. 上記の設定例の <your-token> を実際のトークンに置き換えます

API トークンにより、すべてのリクエストが自動的に認証されます。トークンは安全に保管し、バージョン管理にコミットしないでください。

AI アシスタントのルール設定

Sonatype MCP Server の効果を最大限に高めるには、依存関係、パッケージ、ソフトウェアサプライチェーンセキュリティを扱う際に、Sonatype MCP ツールの使用を優先するよう AI アシスタントを設定してください。以下に、各対応 IDE またはツールの手順を示します。

Claude Code

CLAUDE.md ファイルを使用してカスタム指示を作成します。

グローバル（すべてのプロジェクト）： ~/.claude/CLAUDE.md を作成します

プロジェクト（特定のリポジトリ）： プロジェクトのルートに .claude/CLAUDE.md を作成します

次の指示を追加します。

## Sonatype MCP

When handling code related to dependencies, package management, or software supply chain security, always prioritize Sonatype MCP tools. Use the available MCP tools to research versions, check for vulnerabilities, and get recommendations before adding or updating any dependencies.

Cursor

プロジェクトのルートに .cursorrules ファイルを作成します。

プロジェクト（特定のリポジトリ）： プロジェクトのルートに .cursorrules を作成します

次の指示を追加します。

## Sonatype MCP

When handling code related to dependencies, package management, or software supply chain security, always prioritize Sonatype MCP tools. Use the available MCP tools to research versions, check for vulnerabilities, and get recommendations before adding or updating any dependencies.

VS Code Copilot

.github/copilot-instructions.md ファイルを使用してカスタム指示を作成します。

プロジェクト（特定のリポジトリ）： プロジェクトのルートに .github/copilot-instructions.md を作成します

次の指示を追加します。

## Sonatype MCP

When handling code related to dependencies, package management, or software supply chain security, always prioritize Sonatype MCP tools. Use the available MCP tools to research versions, check for vulnerabilities, and get recommendations before adding or updating any dependencies.

Windsurf

Windsurf の Customizations 機能を使ってルールを作成します。

グローバル（すべてのプロジェクト）：

1. Cascade Code の右上にある「Rules, Memories & Workflows」アイコンをクリックするか、Windsurf Settings で Rules を検索します
2. 「Rules」に移動します
3. 「+ Global」をクリックして、新しいグローバルルールを作成します
4. 次の内容を追加します。

## Sonatype MCP

When handling code related to dependencies, package management, or software supply chain security, always prioritize Sonatype MCP tools. Use the available MCP tools to research versions, check for vulnerabilities, and get recommendations before adding or updating any dependencies.

プロジェクト（特定のリポジトリ）： グローバルの手順に従い、「+ Workspace」をクリックするか、プロジェクトのルートに .windsurf/rules/sonatype.md を作成します。

## Sonatype MCP

When handling code related to dependencies, package management, or software supply chain security, always prioritize Sonatype MCP tools. Use the available MCP tools to research versions, check for vulnerabilities, and get recommendations before adding or updating any dependencies.

IntelliJ with Junie

.junie/guidelines.md ファイルを使用してカスタムガイドラインを作成します。

プロジェクト（特定のリポジトリ）： プロジェクトのルートに .junie/guidelines.md を作成します

次の指示を追加します。

## Sonatype MCP

When handling code related to dependencies, package management, or software supply chain security, always prioritize Sonatype MCP tools. Use the available MCP tools to research versions, check for vulnerabilities, and get recommendations before adding or updating any dependencies.

Kiro

.kiro/steering/ ディレクトリにステアリングファイルを作成します。

プロジェクト（特定のリポジトリ）： プロジェクトのルートに .kiro/steering/sonatype.md を作成します

常に含まれるように、YAML フロントマターを追加します。

---
inclusion: always
---

## Sonatype MCP

When handling code related to dependencies, package management, or software supply chain security, always prioritize Sonatype MCP tools. Use the available MCP tools to research versions, check for vulnerabilities, and get recommendations before adding or updating any dependencies.

Gemini Code Assist

GEMINI.md ファイルを使用してカスタム指示を作成します。

グローバル（すべてのプロジェクト）： ~/.gemini/GEMINI.md を作成します

プロジェクト（特定のリポジトリ）： プロジェクトのルートに GEMINI.md を作成します

次の指示を追加します。

## Sonatype MCP

When handling code related to dependencies, package management, or software supply chain security, always prioritize Sonatype MCP tools. Use the available MCP tools to research versions, check for vulnerabilities, and get recommendations before adding or updating any dependencies.

使用例

通常の開発では、LLM が依存関係の使用やアップグレードを判断します。MCP ツールは透過的に使用され、より新しい情報に基づいた優れた提案が提供されるため、コンポーネントやバージョンの選択を検証するための寄り道をなくせます。

開発ワークフローで Sonatype MCP Server を明示的に活用する方法をいくつか紹介します。

特定バージョンを分析する

AI アシスタントに次のように尋ねます。

「react 18.2.0 の詳細なセキュリティ情報を取得して」

アシスタントは、CVSS スコア付きの CVE、ライセンス情報、カテゴリ、サポート終了状況、カタログの日付など、包括的な詳細情報を返します。

最新の安定版を検索する

AI アシスタントに次のように尋ねます。

「spring-boot の最新の安定版は？」

アシスタントは、最新バージョンに加え、詳細なセキュリティ分析、ポリシー違反、ライセンス、リスクスコア、アップグレードの推奨事項を返します。

セキュリティ評価ワークフロー

アシスタントは両方のツールを使用して、現在のバージョンと最新バージョンを比較し、実行可能なセキュリティガイダンスを提示できます。

利用可能なツール

Sonatype MCP Server は、AI アシスタント向けに次の 3 つの強力なツールを提供します。

• getComponentVersion - コンポーネントの特定バージョンに関する情報を取得します
• getLatestComponentVersion - コンポーネントの最新バージョンに関する情報を取得します
• getRecommendedComponentVersions - コンポーネントの現在のバージョンに基づいて、アップグレード先として推奨されるバージョンのセットを取得します。バージョンが指定されていない場合は、そのコンポーネントで使用を開始する際に推奨されるバージョンのセットを取得します

サポートとフィードバック

• 問題とバグ報告： GitHub の課題

Sonatype について

Sonatype はソフトウェアサプライチェーンセキュリティのリーダーであり、組織が開発ライフサイクル全体を通じてオープンソースのリスクを管理するためのソリューションを提供しています。詳しくは sonatype.com をご覧ください。

安全なソフトウェアサプライチェーンを大切にする開発者のために、❤️を込めて開発されました。