この記事はこんな人におすすめ
- オンプレ環境のGHEからAWS上にソースコードを取得し、CICD環境を構築したい人
- CodePipelineを使いたくない人 or GitHubEnterpriseに対してのアクセスを、会社のセキュリティ上単一IPで絞っているため使えない等の理由で使えない人
- CodeBuildとCodeDeployだけでCICD環境を構築したい人
- buildspec.ymlからCodeDeployを実行したい人
- CodeBuildの実行起因を細かく設定したい人
構成
- その1：CodeBuildとGithub Enterpriseの連携(本記事)
- その2：buildspec.ymlとECS、ECR、CodeDeployの設定(後日記載します)
はじめに
CodeCommitの新規顧客の受け入れが停止されるという悲報が届いたのは記憶に新しいですよね。勤務先のソースコード管理ツールは、CodeCommit or GitHub Enterpriseのほぼ2択で、CodeCommitが新規で使えなくなった今、GitHub Enterpriseしか選択肢がなくなってしまいました。事業の関係上セキュリティが厳しく、GHEのIPの穴あけをできるかぎり最小限(/32)にする必要があります。そういう背景もあり、なるべくGHEをAWS上のCICDのフローに組み込みたくはなかったのですが、上記の理由によりやむ追えなくなりました。この記事ではCodePipelineを使わずに、CodeBuildとCodeDeployのみで、GitHubEnterpriseへのpush起因で動くCICD環境の構築方法を記載していきます。
CICDフロー構成図
CICDフローの説明
- GitHub Enterpriseへのpush起因(特定ブランチマージ起因とかでも可)で、Webhookが動作し、CodeBuildを実行します
- CodeBuildはbuildspec.ymlを参照し、プライベートサブネット内にEC2を立ててGHEからコードをプル、ビルドを行います
- ビルド後、作成したコンテナをECRにpushします
- CodeDeployを起動し、S3にあるappspec.jsonを参照しCodeDeployの詳細設定を行います。CodeDeployはECRのlatestを参照しECS上にブルーグリーンデプロイを行います
この構成にした理由
2点理由があり、
- IPの穴あけが1つだけで済むから
- 無駄なCodePipelineを作らずに済むから
です。
1点目に関しては、CodeBuildをプライベートサブネットで立つEC2にてビルドするように設定することで、GHEにアクセスするIPアドレスが常にNat Gatewayのelastic IPに固定できるからです。
2点目に関しては、CodePipelineでソースを取得しようとすると、毎回AWSのIPレンジの中でIPが変化してしまう。無理やりCodePipelineを使おうとすると、ソース部分にダミーのソースを設定する必要があります....
それならわざわざCodePipeline作る意味ないよねってことでCodePipelineは使わない方針でCICDフローを作成しました。
構築方法
GitHub Enterprise上の設定
- GitHub Enterpriseに行き、自分のアイコンをクリック
- Setting→Developer Settings→Personal access tokens (classic)を選択(注：classicじゃないとAWSと連携できません)
- Repoだけ選択し、有効期限を設定、Noteにわかりやすい名前を入力し作成
- 作成後の画面に表示されるTokenをコピーしてメモっておきます(あとで使用します)
- Secret Managerにて画像のように入力してTokenを保存
CodeBuildの設定
- AWSのCodeBuildコンソールに移動し、プロジェクトを作成
- 下記を参考に設定項目を設定
- 下記表の項目を設定したのちビルドプロジェクトを作成するを押下
- ウェブフックの作成というホップアップが出てくるので、ペイロードのURLとシークレットをコピーします
| 設定項目 | 設定値 | 補足 |
|---|---|---|
| プロジェクト名 | 任意の名前を入力 | |
| パブリックビルドアクセス | チェックしません | |
| ビルドバッチを有効にする | チェックしません | |
| 同期ビルド制限の有効化 | チェックしません | 元々アカウントの制限は20個なので特に意識しなくて良いです |
| ソース | ---- | ---- |
| ソース1 | GitHub Enterprise | |
| 認証情報 | カスタムソース認証情報 | |
| 認証情報タイプ | 個人用アクセストークン | |
| 接続 | 先ほどSecret Managerに保存した認証情報を選択 | |
| リポジトリ | GitHub Enterpriseアカウントのリポジトリを選択 | |
| リポジトリのURL | CICDに組み込みたいレポジトリのURLを記載 | |
| 追加設定なし | ||
| プライマリソースのウェブフックイベント | ---- | ---- |
| ウェブフック | コードの変更がこのレポジトリにプッシュされるたびに再構築する | |
| ビルドタイプ | 単一ビルドを選択 | |
| フィルタグループ1 | --- | --- |
| イベントタイプ | ※1で説明 | |
| これらの条件でビルドを開始する | ※1で説明 | |
| これらの条件でビルドを開始しない | ※1で説明 | |
| 環境 | --- | --- |
| プロビジョニング | オンデマンドを選択 | |
| 環境イメージ | マネージド型イメージを選択 | |
| コンピューティング | EC2 | |
| オペレーティングシステム | Amazon Linux | |
| ランタイム | Standard | |
| イメージ | 最新のを選択 | |
| サービスロール | 常に最新のイメージを使用してください | |
| 追加設定 | ---- | ---- |
| 特権付与 | チェックする | コンテナをCodeBuildでビルドする場合は特権付与が必要です |
| 証明書 | 証明書を使う場合は設定 | |
| VPC | EC2を起動するVPCを選択 | |
| サブネット | プライベートサブネットを選択 | IP固定のためにNATを経由するプライベートサブネットでEC2を起動するようにします |
| セキュリティグループ | CodeBuildのビルドのEC2にアタッチする使用するセキュリティグループを選択 | |
| コンピューティング | 最適なスペックを選択 | |
| Buildspec | ---- | ---- |
| ビルド仕様 | buildspecファイルを使用するをチェックします | |
| Buildspec名 | buildspec.yml | レポジトリにあるBuildspec.ymlの場所を指定。左記だとレポジトリ直下にbuildspec.ymlを置いています |
| バッチ設定、アーティファクト、ログの設定 | 必要であればします | |
| サービスロールのアクセス許可 | ||
| サービスロール | CodeBuildにアタッチするロールを選択 | |
| AWS CodeBuildにこのサービスロールの編集を許可し、このビルドプロジェクトでの使用を可能にします | チェックする |
※1 CodeBuildのトリガーを詳細に設定できます
主なイベントタイプ
何をトリガーにCodeBuildを起動するか設定できます。
| PULL_REQUEST_CREATED | プルリクエスト作成時 |
|---|---|
| push | プッシュ起因 |
| PULL_REQUEST_UPDATE | プルリクエストアップデート時 |
| PULL_REQUEST_REOPEN | プルリクエスト再オープン時 |
| PULL_REQUEST_MERGED | プルリクエストマージ時 |
| PULL_REQUEST_UPDATE | プルリクエストアップデート時 |
| PULL_REQUEST_ClOSED | プルリクエストクローズ時 |
これらの条件でビルドを開始する/これらの条件でビルドを開始しない
→HEAD_REFとBASE_REFでビルドが動くプルリクエストの条件を詳細に設定できます。
HEAD_REFに^refs/heads/sandbox$、
BASE_REFに^refs/heads/main$を設定すれば、sandboxからmainのプルリクに置いて、イベントタイプで設定した条件でCodeBuildを動かすように設定できます。
Githubのwebhookの設定
- 連携させるレポジトリに行きます
- setting→hooksをおしてhooks登録画面に移行します(下記図)
- 先ほどコピーしたペイロードのURLとシークレットをペーストします
- Send me everythingを選択します
- add webhookを押下しwebhookを作成します
以上で、イベントタイプで設定した条件を満たした時に、CodeBuildがレポジトリのbuildspec.ymlを読み込んで、立ち上がるように設定できます。注意点はbuildspecに記載する際、他サービスにCodeBuildがアクセス等するときは、CodeBuildにアタッチするロールに対して他サービスの権限を付与してあげる必要があります。そうしてあげないとCodeBuildがコマンドを実行し、他サービスを動かす際に権限不足で動かせなくなってしまいます。