はじめに
-
そろそろ研究成果の検証に入るからDevSecOps環境を作ろうということで、Azure上に構築してみました。
-
研究内容の概要は以下にまとまているので興味があればご覧くださいー
- AWSさんにはDevSecOps環境をしゅっと作れるサンプルがあるんですが、Azureさんにはまだないので、自分で作ろうと思います。
- 検証環境のソースをを一気に作ることはできないので、徐々に作成しながら追記していきます。
- 個人用のメモを兼ねてるので、説明不足の点はご容赦ください
構成
- 作るものはこれです。
- 構成図からサンプルコードを作ってくれるGPT系のサービスがあるのですが、Azureは2023/05月現在まだ対応してないようです。残念、、
準備
- 開発はGithub CodeSpaceでやります。
- IaCツールは使い慣れている Terraform を使います。
- Azureのアカウントは持っている前提になります。
作業
AKSクラスタ作成
- 以下のドキュメントを元にAKSクラスタを作成します。
- SSH keyの作成とかサービスプリンシパルの作成とかさらっと前提条件書いてありますが、必要なパスに情報を加筆したりファイルを置かないと terraform plan の段階でエラーが出ます。
- 成功すると緑色で Apply Complete !が表示されます。
- こんな感じでnamespaceが作成されます。
- 余談ですがこのサンプルを実行すると Container Insight が自動で設定されます。
Azure Container Registry作成
- 以下のドキュメントを元にAzure Container Registryを作成します。
App Sample
- サンプルに使うアプリは以下です。
- Container Registory に image を pushしデプロイします
Azure Key Vault 作成
- 以下のドキュメントを元にAzure Key Vaultを作成します。
- KeyVaultの設定は以下を参考にします
Azure Policy 作成
- Cluster へのPolicy 設定をしていきます
Potalから設定
Microsoft Defender for DevOps の有効化
- セキュリティ対応のためDefender for DevOps を有効化します
-
Defender For Cloud の画面を開くと初回にセキュリティ項目をオンにするか聞かれます
-
Github リポジトリへの接続設定もしていきます
- Github レポジトリの監視をオンにするとセキュリティ上脆弱なレポジトリを確認することができます
アプリケーションの作成
- GithubにおちてたJavaのサンプルアプリを使います
- Github ActionsのCI/CD機能を使ってコンテナレジストリへのPushとAKSへのデプロイを実施します。
OWASP ZAP
- 脆弱性診断には OWASP ZAPを使います (TBD)
ZAP Network
- OWASP ZAPの設定です (TBD)
GitHubで編集を提案
Discussion