Automatisches Erstellen und Bereitstellen einer Java-Anwendung auf Amazon EKS mithilfe einer CI/CD-Pipeline

Melden Sie sich bei der AWS-Managementkonsole an, öffnen Sie die Amazon S3 S3-Konsole und erstellen Sie dann einen S3-Bucket in der AWS-Region, in der Sie diese Lösung bereitstellen möchten. Weitere Informationen finden Sie in der Amazon S3 S3-Dokumentation unter Bucket erstellen.

Erstellen Sie im S3-Bucket einen Ordner mit dem Namencode.

Navigieren Sie zu dem Ort, an dem Sie das Repository geklont haben. Führen Sie die folgenden Befehle nacheinander aus, um eine komprimierte Version des gesamten Codes mit der Erweiterung .zip (cicdstack.zip) zu erstellen und die ZIP-Datei zu überprüfen.

Hinweis: Wenn der python Befehl fehlschlägt und angibt, dass Python nicht gefunden wurde, verwenden Sie python3 stattdessen.

cd aws-codepipeline-devsecops-amazoneks
python -m zipfile -c cicdstack.zip *
python -m zipfile -t cicdstack.zip

Laden Sie die cicdstack.zip Datei in den Codeordner hoch, den Sie zuvor im S3-Bucket erstellt haben.

Öffnen Sie die CloudFormation AWS-Konsole und wählen Sie Create Stack.

Wählen Sie unter Vorlage angeben die Option Eine Vorlagendatei hochladen, laden Sie die cf_templates/codecommit_ecr.yaml Datei hoch und klicken Sie dann auf Weiter.

Geben Sie im Feld Stackdetails angeben den Stack-Namen und anschließend die folgenden Eingabeparameterwerte ein:

Wählen Sie Weiter, verwenden Sie die Standardeinstellungen für die Optionen „Stack konfigurieren“ und wählen Sie dann Weiter.

Überprüfen Sie im Abschnitt Überprüfen die Vorlagen- und Stack-Details und wählen Sie dann Stapel erstellen aus. Anschließend wird der Stack erstellt, einschließlich der Repositorys CodeCommit und der Amazon ECR Repositorys.

Notieren Sie sich die Namen der Repositorys CodeCommit und der Amazon ECR-Repositorys, die für die Einrichtung der Java CI/CD-Pipeline erforderlich sind.

Überprüfen Sie auf der CloudFormation Konsole unter Stacks den Status des CloudFormation Stacks, den Sie bereitgestellt haben. Der Status des Stacks sollte CREATE COMPLETE lauten.

Überprüfen Sie außerdem von der Konsole aus, ob CodeCommit und Amazon ECR bereitgestellt wurden und bereit sind.

Navigieren Sie an dem Ort, an dem Sie das GitHub Repository geklont haben, zu dem Ordnerhelm_charts/aws-proserve-java-greeting. In diesem Ordner enthält die values.dev.yaml Datei Informationen zur Konfiguration der Kubernetes-Ressourcen, die Sie für Ihre Container-Bereitstellungen in Amazon EKS ändern können. Aktualisieren Sie den Docker-Repository-Parameter, indem Sie Ihre AWS-Konto-ID, Ihre AWS-Region und den Namen des Amazon ECR-Repositorys angeben.

image:
  repository: <account-id>.dkr.ecr.<region>.amazonaws.com/<app-ecr-repo-name>

Der Servicetyp des Java-Pods ist auf eingestellt. LoadBalancer

service:
  type: LoadBalancer
  port: 80
  targetPort: 8080
  path: /hello
  initialDelaySeconds: 60
  periodSeconds: 30

Um einen anderen Dienst zu verwenden (z. B.NodePort), können Sie die Parameter ändern. Weitere Informationen finden Sie in der Kubernetes-Dokumentation.

Sie können den Kubernetes Horizontal Pod Autoscaler aktivieren, indem Sie den Parameter auf ändern. autoscaling enabled: true

autoscaling:
  enabled: true
  minReplicas: 1
  maxReplicas: 100
  targetCPUUtilizationPercentage: 80
  # targetMemoryUtilizationPercentage: 80

Vergewissern Sie sich vom Terminal aus, dass Helm v3 auf Ihrer lokalen Workstation installiert ist, indem Sie den folgenden Befehl ausführen.

helm --version

Wenn Helm v3 nicht installiert ist, installieren Sie es.

Navigieren Sie im Terminal zum Verzeichnis Helm Charts (helm_charts/aws-proserve-java-greeting) und führen Sie den folgenden Befehl aus.

helm lint . -f values.dev.yaml

Dadurch werden die Helm-Charts auf Syntaxfehler überprüft.

Öffnen Sie die CloudFormation AWS-Konsole und wählen Sie Create Stack aus.

Wählen Sie unter Vorlage angeben die Option Eine Vorlagendatei hochladen, laden Sie die cf_templates/build_deployment.yaml Vorlage hoch und klicken Sie dann auf Weiter.

Geben Sie im Feld Stackdetails angeben den Stack-Namen und anschließend die folgenden Werte für die Eingabeparameter an:

Wählen Sie Weiter aus. Verwenden Sie die Standardeinstellungen unter Stack-Optionen konfigurieren und wählen Sie dann Weiter.

Überprüfen Sie im Abschnitt Überprüfen die CloudFormation AWS-Vorlage und die Stack-Details und wählen Sie dann Weiter aus.

Wählen Sie Stack erstellen aus. 

Während der CloudFormation Stack-Bereitstellung erhält der Besitzer der E-Mail-Adresse, die Sie in den Parametern angegeben haben, eine Nachricht, in der er aufgefordert wird, ein SNS-Thema zu abonnieren. Um Amazon SNS zu abonnieren, muss der Eigentümer den Link in der Nachricht auswählen.

Nachdem der Stack erstellt wurde, öffnen Sie die Registerkarte Outputs des Stacks und notieren Sie dann den ARN-Wert für den EksCodeBuildkubeRoleARN Ausgabeschlüssel. Dieser IAM-ARN-Wert wird später benötigt, um der CodeBuild IAM-Rolle Berechtigungen zur Bereitstellung von Workloads im Amazon EKS-Cluster zu gewähren.

Öffnen Sie die AWS Security Hub Hub-Konsole und navigieren Sie zu Integrationen.

Suchen Sie nach Aqua Security und wählen Sie Aqua Security: Aqua Security aus.

Wählen Sie Ergebnisse akzeptieren aus.

Öffnen Sie das cf_templates/kube_aws_auth_configmap_patch.sh Shell-Skript in Ihrer Amazon Linux- oder macOS-Umgebung.

Authentifizieren Sie sich beim Amazon EKS-Cluster, indem Sie den folgenden Befehl ausführen.

aws eks --region <aws-region> update-kubeconfig --name <eks-cluster-name>

Führen Sie das Shell-Skript mit dem folgenden Befehl aus und ersetzen <rolearn-eks-codebuild-kubectl> Sie es durch den ARN-WertEksCodeBuildkubeRoleARN, den Sie zuvor aufgezeichnet haben.

bash cf_templates/kube_aws_auth_configmap_patch.sh <rolearn-eks-codebuild-kubectl> 

Die CodeSecurity Scan-Phase in der Pipeline schlägt normalerweise fehl, wenn Checkov Schwachstellen in den Dockerfile- oder Helm-Diagrammen entdeckt. Der Zweck dieses Beispiels besteht jedoch darin, einen Prozess zur Identifizierung potenzieller Sicherheitslücken einzurichten, anstatt sie über die CI/CD-Pipeline zu beheben, was normalerweise ein Prozess ist. DevSecOps In der Datei verwendet der checkov Befehl das --soft-fail Flagbuildspec/buildspec_secscan.yaml, um einen Pipeline-Ausfall zu vermeiden.

      - echo -e "\n Running Dockerfile Scan"
      - checkov -f code/app/Dockerfile --framework dockerfile --soft-fail --summary-position bottom
      - echo -e "\n Running Scan of Helm Chart files"
      - cp -pv helm_charts/$EKS_CODEBUILD_APP_NAME/values.dev.yaml helm_charts/$EKS_CODEBUILD_APP_NAME/values.yaml
      - checkov -d helm_charts/$EKS_CODEBUILD_APP_NAME --framework helm --soft-fail --summary-position bottom
      - rm -rfv helm_charts/$EKS_CODEBUILD_APP_NAME/values.yaml

Damit die Pipeline fehlschlägt, wenn Sicherheitslücken in den Dockerfile- und Helm-Diagrammen gemeldet werden, muss die --soft-fail Option aus dem checkov Befehl entfernt werden. Entwickler oder Techniker können die Sicherheitslücken dann beheben und die Änderungen in das CodeCommit Quellcode-Repository übertragen.

Ähnlich wie bei CodeSecurity Scan verwendet die Build-Phase Aqua Security Trivy, um HOHE und KRITISCHE Docker-Image-Schwachstellen zu identifizieren, bevor die Anwendung an Amazon ECR weitergeleitet wird. In diesem Beispiel sorgen wir nicht dafür, dass die Pipeline aufgrund von Docker-Image-Schwachstellen fehlschlägt. In der Datei buildspec/buildspec.yml enthält der trivy Befehl das Flag --exit-codemit einem Wert 0, weshalb die Pipeline nicht fehlschlägt, wenn DOCKER-Image-Schwachstellen vom Typ HIGH oder CRITICAL gemeldet werden.

      - AWS_REGION=$AWS_DEFAULT_REGION AWS_ACCOUNT_ID=$AWS_ACCOUNT_ID trivy -d image --no-progress --ignore-unfixed --exit-code 0 --severity HIGH,CRITICAL --format template --template "@securityhub/asff.tpl" -o securityhub/report.asff $AWS_ACCOUNT_ID.dkr.ecr.$AWS_DEFAULT_REGION.amazonaws.com/$IMAGE_REPO_NAME:$CODEBUILD_RESOLVED_SOURCE_VERSION

Damit die Pipeline fehlschlägt, wenn HIGH, CRTICAL Sicherheitslücken gemeldet werden, ändern Sie den Wert von --exit-code auf1.

Entwickler oder Techniker können die Sicherheitslücken dann beheben und die Änderungen in das CodeCommit Quellcode-Repository übernehmen.

Von Aqua Security Trivy gemeldete Docker-Image-Schwachstellen werden auf den Security Hub hochgeladen. Navigieren Sie in der AWS Security Hub Hub-Konsole zu Findings. Filtern Sie die Ergebnisse mit Record State = Active und Product = Aqua Security. Dadurch werden die Docker-Image-Schwachstellen in Security Hub aufgelistet. Es kann 15 Minuten bis 1 Stunde dauern, bis Sicherheitslücken im Security Hub auftauchen.

Nach Abschluss der Erstellungsphase gibt es eine Genehmigungsstelle für die Bereitstellung. Der Prüfer oder ein Release-Manager sollte den Build überprüfen und ihn genehmigen, wenn alle Anforderungen erfüllt sind. Dies ist der empfohlene Ansatz für Teams, die Continuous Delivery für die Anwendungsbereitstellung verwenden.

Nach der Genehmigung leitet die Pipeline die Bereitstellungsphase ein.

Nachdem die Bereitstellungsphase erfolgreich war, enthält das CodeBuild Protokoll für diese Phase die URL der Anwendung. Verwenden Sie die URL, um zu überprüfen, ob die Anwendung bereit ist.