CI/CDに脆弱性スキャンを組み込む
要件・前提
- CI/CDワークフローにおいて、OSおよびプログラミング言語のパッケージに対する脆弱性スキャンを組み込みたい。
- ワークフローでは
AWS CodePipelineが使用され、AWS CodeBuild、AWS CodeDeployのステップを含み、Amazon ECRリポジトリを使用している。 - 脆弱性が存在しないイメージのみがデプロイされるようにしたい。
設計方針
-
CodeBuildでビルドしたコンテナイメージをECRにプッシュ - ECRの拡張スキャンにより
AWS InspectorがOSとプログラミング言語のパッケージ両方の脆弱性を検出 - スキャン完了イベントを
EventBridgeで検知し、Lambdaをトリガー - LambdaがCRITICAL/HIGH脆弱性を評価し、
CodePipelineに承認結果を送信 - 脆弱性なしの場合のみApprovedとなり、
CodeDeployでデプロイ実行 - CRITICAL/HIGH脆弱性が検出された場合はRejectedとなりパイプラインを停止
Amazon ECRには基本スキャンと拡張スキャンのイメージスキャンオプションが存在する。
- 基本スキャン
- 無料でOSのパッケージ脆弱性評価ができる。
- 拡張スキャン
- Amazon Inspectorの利用料がかかるが、プログラミング言語のパッケージもスキャン脆弱性評価できる。
- CVE（共通脆弱性識別子）情報と詳細な修復ガイダンスが提供される
- CVSSスコアに基づいた重大度評価（CRITICAL、HIGH、MEDIUM、LOW）ができる
障害発生時にALBを特定のAZへルーティングしないようにする
要件・前提
- 障害が発生したAZへのトラフィックルーティングを停止すること
- 他の健全なAZのインスタンスは引き続き正常にトラフィックを処理できること
- DevOpsエンジニアが行った調整を検証するために、特定のAZへのトラフィックを制御できること
設計方針
- ALBのターゲットグループでクロスゾーン負荷分散を無効化する
- ALBに対して
Route53 Application Recovery Controllerのゾーナルシフトを実行する
ルーティングの流れ
- ユーザーのリクエストがALBに到達する。
-
Route53 ARCのゾーナルシフトによって、障害が発生したインスタンスのあるAZへのトラフィックルーティングを一時停止する。 - ALBのターゲットグループでクロスゾーン負荷分散を無効化することで、各AZのALBノードが同一AZ内のターゲットにのみトラフィックを分散するようになる。これにより、AZをまたいだ意図しないトラフィックを正常処理する。
クロスゾーン負荷分散はALBのターゲットグループに対して設定できる。
ALBでは常時オンに固定されており、オフにすることはできない。