DevSecOps パイプラインがリポジトリーを使用する方法

アプリケーションをビルド、テスト、およびデプロイするために、 DevSecOps パイプラインは以下の 2 つのリポジトリーを使用します。

• app-repo: アプリケーションのソース・コードが含まれているアプリケーション・リポジトリー。
• config-repo: 構成リポジトリー。これには、パイプライン構成 YAML ファイルおよびスクリプトが含まれています。

DevSecOps サンプル・アプリ では、これらの 2 つのリポジトリーは同じです。 ほとんどの DevSecOps 採用者は、このパターンから開始します。 しかし、より多くのマイクロサービスをオンボードするにつれて、専用の別個のパイプライン構成リポジトリーが必要になる場合があります。 サンプル・アプリケーションではアプリケーション・リポジトリーと構成リポジトリーが同じであるため、パイプラインの実行時にリポジトリーが 2 回複製されるため、エラーが発生する可能性があります。 したがって、異なる DevSecOps ツールチェーンおよびパイプライン間で共有して再利用できる構成ファイルおよびスクリプトをホストするために、別個の構成リポジトリーを用意することがベスト・プラクティスです。 構成リポジトリーのカスタマイズについて詳しくは、 拡張カスタマイズ・ステップ を参照してください。

DevSecOps スクリプトは、 app-repo と config-repo を 2 つの別個のリポジトリーと見なします。 スクリプトは、パイプラインの開始ステージ中にリポジトリーを 2 回複製します。 これらのクローンは、 app-repo および one-pipeline-config-repo と呼ばれます。 各ステージは、 config repo のコンテキストで実行されます。

オプション 1: アプリケーション・リポジトリーを追加し、サンプル・アプリケーション・リポジトリーを構成リポジトリーとして使用する

アプリケーション・リポジトリーをツールチェーンに追加し、サンプル・アプリケーション・リポジトリーを構成リポジトリーとして使用するには、以下のステップを実行します。

1. IBM Cloud コンソールで、 「メニュー」 アイコン > DevOps > 「ツールチェーン」 をクリックし、編集するツールチェーンを選択します。
2. 追加 をクリックします。
3. アプリ・リポジトリーがホストされている場所 ( Gitlab または GitHub) を選択します。
4. デフォルト・サーバーを使用するか、新規サーバーを追加します。
5. カスタム・サーバーの URL と個人用アクセス・トークンを入力します。
6. 「統合の作成」 をクリックします。
7. アプリケーション・ソース・コード・リポジトリー URL を入力します。
8. 「統合の作成」 をクリックします。

次に、以下のステップを実行して、サンプル・アプリケーション・リポジトリーを構成リポジトリーとして指定します。

1. IBM Cloud コンソールで、 「メニュー」 アイコン > DevOps > 「ツールチェーン」 をクリックし、編集するツールチェーンを選択します。
2. 「pr-pipeline」 をクリックします。
3. 「設定」 をクリックして、 「環境プロパティー」 タブに移動します。
4. サンプル・アプリケーション・リポジトリー URL を指すように pipeline-config-repo プロパティーの値を編集します。
5. CI ツールチェーンに戻ります。
6. 「ci-pipeline」 をクリックします。
7. 「設定」 をクリックして、 「環境プロパティー」 タブに移動します。
8. サンプル・アプリケーション・リポジトリー URL を指すように pipeline-config-repo プロパティーの値を編集します。

これで、CI パイプラインはサンプル・アプリ・リポジトリー pipeline-config を構成リポジトリーとして使用します。

オプション 2: サンプル・アプリケーション・リポジトリーを独自のアプリケーション・リポジトリーに置き換える

サンプル・アプリ・リポジトリーを独自のアプリ・リポジトリーに置き換えるには、以下の手順を実行します。

1. IBM Cloud コンソールで、 「メニュー」 アイコン > DevOps > 「ツールチェーン」 をクリックし、編集する CI ツールチェーンを選択します。
2. サンプル・アプリケーションのソース・コード・リポジトリーを見つけ、 「構成」 を選択します。
3. リポジトリー URL をアプリケーション・ソース・コード・リポジトリー URL に置き換えます。
4. **「統合の保存」**をクリックします。

サンプル・アプリ・リポジトリーを置き換えた後、新しいアプリ・リポジトリーに .pipeline-config.yaml ファイルと対応するスクリプトが含まれていることを確認してください。 .pipeline-config.yaml ファイルとスクリプトをサンプル・アプリケーション・リポジトリーからアプリケーション・リポジトリーにコピーするか、 このサンプル構成ファイル を使用します。

CI パイプラインの構成

アプリケーション・リポジトリーを追加した後、新規リポジトリーと連携するように CI パイプラインを構成する必要があります。

DevSec操作でのカスタム・スクリプトの使用

pipeline-config.yaml ファイルは、 DevSecOps パイプラインの動作を調整およびカスタマイズするキー・コンポーネントです。 このファイルは、スクリプトを使用してアプリケーションをビルド、テスト、およびデプロイします。 このファイルは、ステージの構成方法、および実行するスクリプトを定義します。 詳しくは、 カスタム・スクリプト を参照してください。

DevSecOps パイプラインによって使用されるスクリプトには、主に次の 2 つのカテゴリーがあります。

• アプリケーションのビルド、テスト、およびデプロイに使用されるアプリケーション関連スクリプト。 これらのスクリプトは、お客様自身の責任で、 DevSecOps サポートの範囲外になります。 これらのスクリプトにはデフォルトの実装がないため、アプリケーションまたは構成リポジトリーに追加する必要があります。 Jenkins または別のソースからスクリプトをプルする必要がある場合があります。
• セキュリティー・スキャンおよびコンプライアンス・スキャンを実行するセキュリティー・スクリプトおよびコンプライアンス・スクリプト。 ほとんどの場合、独自のカスタム実装を使用するためにオーバーライドできる デフォルト・スクリプト が付属しています。

開始ステージを除き、CI、CD、または CC パイプラインの各ステージは、独自のスクリプトを使用してカスタマイズして、ステージのデフォルト実装をオーバーライドすることができます。 独自のスクリプトを使用して開始ステージをカスタマイズすることはできません。

Bash スクリプトはサンプルとして提供されていますが、 Python や Go などの他の言語を使用してアプリケーションをビルド、テスト、およびデプロイすることができます。 各ステージに正しい image を使用していることを確認します。 DevSecOps パイプライン・セクションの Docker イメージ を参照してください。

CI パイプラインのさまざまなステージを要約した ステージとタスク の表を参照してください。 また、この表には、ステージにデフォルトの参照実装があるかどうか、カスタマイズまたはスキップできるかどうか、またはステージの実行に必要な明示的なエビデンス収集があるかどうかについての統合情報も示されます。

CD パイプラインの構成

DevSecOps 継続的統合、継続的デプロイメント・ワークフロー では、CI パイプラインは、CI パイプラインの deploy-release ステージ中に在庫リポジトリーに更新をプッシュします。 詳しくは、 サンプルの release.sh スクリプト を参照してください。

このワークフローでは、複数の CI トリガーと異なる DevSecOps CI ツールチェーンが同じインベントリー・リポジトリーにコントリビュートすることができます。

CI パイプラインとは異なり、CD パイプラインによって使用されるデプロイメント・スクリプトは、 inventory repo 内の項目を使用するために、 Jenkins、Travis、またはその他のプラットフォームの現行スクリプトから調整する必要があります。

この サンプル・コード は、インベントリーから情報を取得し、それを使用して Kubernetes デプロイメントを実行する方法を示しています。

DevSec操作スクリプトの場所

DevSecOps パイプラインには、デフォルトのセキュリティー・ツールとスキャン・ツール、および関連スクリプトが付属しています。

例えば、ステージ・ログの先頭はデフォルト・スクリプトを参照します。

scan-artifact:
  image: icr.io/continuous-delivery/pipeline/pipeline-base-ubi:3.24
  dind: true
  dind_image: icr.io/continuous-delivery/toolchains/devsecops/docker:20.10.21-dind
  abort_on_failure: false
  image_pull_policy: IfNotPresent
  script: |
    #!/bin/sh

    "/opt/commons/scan-artifact/scan.sh"

/opt/commons/scan-artifact/scan.sh はデフォルトのスクリプトです。

DevSecOps パイプラインは、 COMMONS_PATH という環境変数内に commons ライブラリー のルート・フォルダーへのパスを提供します。この環境変数は、すべてのタスクおよびステップで使用できます。 準拠性ベース・イメージに組み込まれているスクリプトにアクセスするには、必要なスクリプト・フォルダーで COMMONS_PATH 変数を使用します。

source "${COMMONS_PATH}/<script folder in commons>/<script file name>

CD パイプラインのさまざまなステージを要約した表「 ステージとタスク 」を参照してください。 また、この表には、ステージにデフォルトの参照実装があるかどうか、カスタマイズ可能かスキップ可能か、またはステージの実行に必要な明示的なエビデンス収集があるかどうかも、統合された情報が示されます。

環境プロパティー

DevSecOps パイプラインには 事前定義環境プロパティー が付属していますが、カスタム・プロパティーは必要な数だけ追加できます。 get_env コマンド を使用して、スクリプト内のこれらのプロパティー値にアクセスできます。

プロパティーとそのオプションのデフォルト値をパイプラインまたはトリガーに追加した後、スクリプトで get_env コマンドを使用してプロパティーの値を取得します。 以下の例では、 my-variable プロパティーの値を取得します。

MY_VARIABLE=$(get_env my-variable "")

set_env コマンド を使用して、スクリプト内のプロパティーの値を動的にオーバーライドすることもできます。 以下の例では、 my-variable プロパティーの値をオーバーライドします。

set_env my-variable new-value

ステージのスキップ

一部のステージは無関係である可能性があります。 例えば、 Docker イメージをビルドしていない場合や、受け入れテストをまだ実装していない場合があります。 ステージをスキップする場合は、 .pipeline-config.yaml ファイルを編集して exit 0 を組み込むか、 skip 変数を true に設定します。

以下の例では、ステージをスキップするために exit 0 を追加します。

scan-artifact:
  image: icr.io/continuous-delivery/pipeline/pipeline-base-ubi:3.24
  dind: true
  dind_image: icr.io/continuous-delivery/toolchains/devsecops/docker:20.10.21-dind
  abort_on_failure: false
  image_pull_policy: IfNotPresent
  skip: false
  runAfter: null
  script: |
    #!/bin/sh

    exit 0
    "/opt/commons/scan-artifact/scan.sh"

DevSecOps パイプライン内の Docker イメージ

デフォルトでは、 DevSecOps パイプラインは IBM Continuous Delivery イメージ を使用します。 これらのイメージには、スクリプトを実行するための最も一般的なツール ( Node や Java など) の一部が含まれています。 また、他のベンダーのイメージを使用することも、好みのツールを含む独自のカスタム・イメージを使用することもできます。

DevSecOps パイプラインによって使用される Docker イメージは、 .pipeline-config.yaml ファイルで指定されます。 ステージごとに異なるイメージを使用できます。

scan-artifact:
  image: icr.io/continuous-delivery/pipeline/pipeline-base-ubi:3.24
  dind: true
  dind_image: icr.io/continuous-delivery/toolchains/devsecops/docker:20.10.21-dind
(...)