DevSecOpsパイプラインのリポジトリ活用法

アプリケーションをビルド、テスト、デプロイするために、DevSecOpsパイプラインは2つのリポジトリを使用する：

• app-repo: アプリケーションのソース・コードが含まれているアプリケーション・リポジトリー。
• config-repo: 構成リポジトリー。これには、パイプライン構成 YAML ファイルおよびスクリプトが含まれています。

DevSecOpsのサンプルアプリ では、これら2つのリポジトリは同じです。 DevSecOps採用者のほとんどは、このパターンから始めている。 しかし、より多くのマイクロサービスをオンボードするにつれて、専用の別個のパイプライン構成リポジトリーが必要になる場合があります。 サンプル・アプリケーションではアプリケーション・リポジトリーと構成リポジトリーが同じであるため、パイプラインの実行時にリポジトリーが 2 回複製されるため、エラーが発生する可能性があります。 したがって、異なるDevSecOpsツールチェーンやパイプライン間で共有・再利用できる設定ファイルやスクリプトをホストするために、別の設定リポジトリを持つことがベストプラクティスだ。 構成リポジトリーのカスタマイズについて詳しくは、 拡張カスタマイズ・ステップ を参照してください。

DevSecOps スクリプトは、 app-repo と config-repo を2つの別々のリポジトリとみなしている。 スクリプトは、パイプラインの開始ステージ中にリポジトリーを 2 回複製します。 これらのクローンは、 app-repo および one-pipeline-config-repo と呼ばれます。 各ステージは、 config repo のコンテキストで実行されます。

オプション 1: アプリケーション・リポジトリーを追加し、サンプル・アプリケーション・リポジトリーを構成リポジトリーとして使用する

アプリケーション・リポジトリーをツールチェーンに追加し、サンプル・アプリケーション・リポジトリーを構成リポジトリーとして使用するには、以下のステップを実行します。

1. IBM Cloudコンソールで、メニューアイコン >Platform Automation>Toolchains をクリックし、編集したいツールチェーンを選択します。
2. 追加 をクリックします。
3. アプリ・リポジトリーがホストされている場所 ( Gitlab または GitHub) を選択します。
4. デフォルト・サーバーを使用するか、新規サーバーを追加します。
5. カスタムサーバーの URL とパーソナルアクセストークンを入力します。
6. 「統合の作成」 をクリックします。
7. アプリケーションのソースコードリポジトリ URL を入力してください。
8. 「統合の作成」 をクリックします。

次に、以下のステップを実行して、サンプル・アプリケーション・リポジトリーを構成リポジトリーとして指定します。

1. IBM Cloudコンソールで、メニューアイコン >Platform Automation>Toolchains をクリックし、編集したいツールチェーンを選択します。
2. 「pr-pipeline」 をクリックします。
3. 「設定」 をクリックして、 「環境プロパティー」 タブに移動します。
4. pipeline-config-repo プロパティの値を編集し、サンプルアプリケーションのリポジトリ URL を指すようにします。
5. CI ツールチェーンに戻ります。
6. 「ci-pipeline」 をクリックします。
7. 「設定」 をクリックして、 「環境プロパティー」 タブに移動します。
8. pipeline-config-repo プロパティの値を編集し、サンプルアプリケーションのリポジトリ URL を指すようにします。

これで、CI パイプラインはサンプル・アプリ・リポジトリー pipeline-config を構成リポジトリーとして使用します。

オプション 2: サンプル・アプリケーション・リポジトリーを独自のアプリケーション・リポジトリーに置き換える

サンプル・アプリ・リポジトリーを独自のアプリ・リポジトリーに置き換えるには、以下の手順を実行します。

1. IBM Cloudコンソールで、メニューアイコン >Platform Automation>Toolchains をクリックし、編集したいCIツールチェーンを選択します。
2. サンプル・アプリケーションのソース・コード・リポジトリーを見つけ、 「構成」 を選択します。
3. リポジトリ URL を、アプリケーションのソースコードリポジトリ URL に置き換えます。
4. **「統合の保存」**をクリックします。

サンプル・アプリ・リポジトリーを置き換えた後、新しいアプリ・リポジトリーに .pipeline-config.yaml ファイルと対応するスクリプトが含まれていることを確認してください。 .pipeline-config.yaml ファイルとスクリプトをサンプル・アプリケーション・リポジトリーからアプリケーション・リポジトリーにコピーするか、 このサンプル構成ファイル を使用します。

CI パイプラインの構成

アプリケーション・リポジトリーを追加した後、新規リポジトリーと連携するように CI パイプラインを構成する必要があります。

DevSecOpsでカスタムスクリプトを使用する

pipeline-config.yaml ファイルは、DevSecOpsパイプラインの動作をオーケストレーションし、カスタマイズする重要なコンポーネントである。 このファイルは、スクリプトを使用してアプリケーションをビルド、テスト、およびデプロイします。 このファイルは、ステージの構成方法、および実行するスクリプトを定義します。 詳しくは、 カスタム・スクリプト を参照してください。

DevSecOpsパイプラインで使用されるスクリプトには、大きく分けて2つのカテゴリーがある：

• アプリケーションのビルド、テスト、およびデプロイに使用されるアプリケーション関連スクリプト。 これらのスクリプトは自己責任であり、DevSecOpsのサポート範囲外である。 これらのスクリプトにはデフォルトの実装がないため、アプリケーションまたは構成リポジトリーに追加する必要があります。 Jenkins または別のソースからスクリプトをプルする必要がある場合があります。
• セキュリティー・スキャンおよびコンプライアンス・スキャンを実行するセキュリティー・スクリプトおよびコンプライアンス・スクリプト。 ほとんどの場合、独自のカスタム実装を使用するためにオーバーライドできる デフォルト・スクリプト が付属しています。

開始ステージを除き、CI、CD、または CC パイプラインの各ステージは、独自のスクリプトを使用してカスタマイズして、ステージのデフォルト実装をオーバーライドすることができます。 独自のスクリプトを使用して開始ステージをカスタマイズすることはできません。

Bash スクリプトはサンプルとして提供されていますが、 Python や Go などの他の言語を使用してアプリケーションをビルド、テスト、およびデプロイすることができます。 各ステージに正しい image を使用していることを確認します。 DevSecOpsパイプラインセクションDockerイメージを/span>のを参照。

CI パイプラインのさまざまなステージを要約した ステージとタスク の表を参照してください。 また、この表には、ステージにデフォルトの参照実装があるかどうか、カスタマイズまたはスキップできるかどうか、またはステージの実行に必要な明示的なエビデンス収集があるかどうかについての統合情報も示されます。

CD パイプラインの構成

DevSecOpsの継続的インテグレーションと継続的デプロイのワークフロー では、CIパイプラインの「deploy-release 段階で、インベントリ・リポジトリに更新をプッシュする。 詳しくは、 サンプルの release.sh スクリプト を参照してください。

このワークフローでは、複数のCIトリガーと異なるDevSecOpsCIツールチェーンが同じインベントリリポジトリに貢献できる。

CI パイプラインとは異なり、CD パイプラインによって使用されるデプロイメント・スクリプトは、 inventory repo 内の項目を使用するために、 Jenkins、Travis、またはその他のプラットフォームの現行スクリプトから調整する必要があります。

この サンプル・コード は、インベントリーから情報を取得し、それを使用して Kubernetes デプロイメントを実行する方法を示しています。

DevSecOpsスクリプトの場所

DevSecOpsパイプラインには、デフォルトのセキュリティ・スキャン・ツールと関連スクリプトが付属している。

例えば、ステージ・ログの先頭はデフォルト・スクリプトを参照します。

scan-artifact:
  image: icr.io/continuous-delivery/pipeline/pipeline-base-ubi:3.24
  dind: true
  dind_image: icr.io/continuous-delivery/toolchains/devsecops/docker:20.10.21-dind
  abort_on_failure: false
  image_pull_policy: IfNotPresent
  script: |
    #!/bin/sh

    "/opt/commons/scan-artifact/scan.sh"

/opt/commons/scan-artifact/scan.sh はデフォルトのスクリプトです。

DevSecOpsパイプラインは、commonsライブラリ のルートフォルダへのパスを'COMMONS_PATH という環境変数で提供し、すべてのタスクとステップで利用できるようにする。 準拠性ベース・イメージに組み込まれているスクリプトにアクセスするには、必要なスクリプト・フォルダーで COMMONS_PATH 変数を使用します。

source "${COMMONS_PATH}/<script folder in commons>/<script file name>

CD パイプラインのさまざまなステージを要約した表「 ステージとタスク 」を参照してください。 また、この表には、ステージにデフォルトの参照実装があるかどうか、カスタマイズ可能かスキップ可能か、またはステージの実行に必要な明示的なエビデンス収集があるかどうかも、統合された情報が示されます。

環境プロパティー

DevSecOpsパイプラインには 定義済みの環境プロパティ が付属しているが、必要に応じてカスタムプロパティをいくつでも追加できる。 get_env コマンド を使用して、スクリプト内のこれらのプロパティー値にアクセスできます。

プロパティーとそのオプションのデフォルト値をパイプラインまたはトリガーに追加した後、スクリプトで get_env コマンドを使用してプロパティーの値を取得します。 以下の例では、 my-variable プロパティーの値を取得します。

MY_VARIABLE=$(get_env my-variable "")

set_env コマンド を使用して、スクリプト内のプロパティーの値を動的にオーバーライドすることもできます。 以下の例では、 my-variable プロパティーの値をオーバーライドします。

set_env my-variable new-value

ステージのスキップ

一部のステージは無関係である可能性があります。 例えば、 Docker イメージをビルドしていない場合や、受け入れテストをまだ実装していない場合があります。 ステージをスキップする場合は、 .pipeline-config.yaml ファイルを編集して exit 0 を組み込むか、 skip 変数を true に設定します。

以下の例では、ステージをスキップするために exit 0 を追加します。

scan-artifact:
  image: icr.io/continuous-delivery/pipeline/pipeline-base-ubi:3.24
  dind: true
  dind_image: icr.io/continuous-delivery/toolchains/devsecops/docker:20.10.21-dind
  abort_on_failure: false
  image_pull_policy: IfNotPresent
  skip: false
  runAfter: null
  script: |
    #!/bin/sh

    exit 0
    "/opt/commons/scan-artifact/scan.sh"

DevSecOpsパイプラインにおけるDockerイメージ

デフォルトでは、'DevSecOpsパイプラインは'IBM'Continuous Delivery画像 を使用する。 これらのイメージには、スクリプトを実行するための最も一般的なツール ( Node や Java など) の一部が含まれています。 また、他のベンダーのイメージを使用することも、好みのツールを含む独自のカスタム・イメージを使用することもできます。

DevSecOpsパイプラインで使用されるDockerイメージは、'.pipeline-config.yaml ファイルで指定される。 ステージごとに異なるイメージを使用できます。

scan-artifact:
  image: icr.io/continuous-delivery/pipeline/pipeline-base-ubi:3.24
  dind: true
  dind_image: icr.io/continuous-delivery/toolchains/devsecops/docker:20.10.21-dind
(...)