Automatically build and deploy a Java application to Amazon EKS using a CI/CD pipeline

Connectez-vous à la console de gestion AWS, ouvrez la console Amazon S3, puis créez un compartiment S3 dans la région AWS où vous prévoyez de déployer cette solution. Pour plus d'informations, consultez la section Création d'un compartiment dans la documentation Amazon S3.

Dans le compartiment S3, créez un dossier nommécode.

Accédez à l'endroit où vous avez cloné le dépôt. Pour créer une version compressée de l'ensemble du code avec l'extension .zip (cicdstack.zip) et valider le fichier .zip, exécutez les commandes suivantes dans l'ordre.

Remarque : Si la python commande échoue et indique que Python n'a pas été trouvé, utilisez-le à la python3 place.

cd aws-codepipeline-devsecops-amazoneks
python -m zipfile -c cicdstack.zip *
python -m zipfile -t cicdstack.zip

Téléchargez le cicdstack.zip fichier dans le dossier de code que vous avez créé précédemment dans le compartiment S3.

Ouvrez la CloudFormation console AWS et choisissez Create stack.

Dans Spécifier le modèle, choisissez Télécharger un fichier modèle, chargez le cf_templates/codecommit_ecr.yaml fichier, puis cliquez sur Suivant.

Dans Spécifier les détails de la pile, entrez le nom de la pile, puis fournissez les valeurs de paramètres d'entrée suivantes :

Choisissez Next, utilisez les paramètres par défaut pour les options de configuration de la pile, puis choisissez Next.

Dans la section Révision, vérifiez le modèle et les détails de la pile, puis choisissez Create stack. La pile est ensuite créée, y compris les référentiels CodeCommit et Amazon ECR.

Notez les noms des référentiels CodeCommit et Amazon ECR, qui seront nécessaires pour la configuration du pipeline Java CI/CD.

Sous Stacks sur la CloudFormation console, vérifiez l'état de la CloudFormation pile que vous avez déployée. Le statut de la pile doit être CREATE COMPLETE.

De plus, depuis la console, validez cela CodeCommit et Amazon ECR a été configuré et est prêt.

À l'emplacement où vous avez cloné le GitHub référentiel, accédez au dossierhelm_charts/aws-proserve-java-greeting. Dans ce dossier, le values.dev.yaml fichier contient des informations sur la configuration des ressources Kubernetes que vous pouvez modifier pour vos déploiements de conteneurs sur Amazon EKS. Mettez à jour le paramètre du référentiel Docker en fournissant votre identifiant de compte AWS, votre région AWS et le nom du référentiel Amazon ECR.

image:
  repository: <account-id>.dkr.ecr.<region>.amazonaws.com/<app-ecr-repo-name>

Le type de service du module Java est défini surLoadBalancer.

service:
  type: LoadBalancer
  port: 80
  targetPort: 8080
  path: /hello
  initialDelaySeconds: 60
  periodSeconds: 30

Pour utiliser un autre service (par exempleNodePort), vous pouvez modifier les paramètres. Pour plus d'informations, consultez la documentation de Kubernetes.

Vous pouvez activer le Kubernetes Horizontal Pod Autoscaler en modifiant le paramètre sur. autoscaling enabled: true

autoscaling:
  enabled: true
  minReplicas: 1
  maxReplicas: 100
  targetCPUUtilizationPercentage: 80
  # targetMemoryUtilizationPercentage: 80

Depuis le terminal, vérifiez que Helm v3 est installé sur votre poste de travail local en exécutant la commande suivante.

helm --version

Si Helm v3 n'est pas installé, installez-le.

Dans le terminal, accédez au répertoire des diagrammes Helm (helm_charts/aws-proserve-java-greeting) et exécutez la commande suivante.

helm lint . -f values.dev.yaml

Cela permettra de vérifier la présence d'éventuelles erreurs de syntaxe dans les diagrammes de Helm.

Ouvrez la CloudFormation console AWS et choisissez Create stack.

Dans Spécifier le modèle, choisissez Télécharger un fichier modèle, chargez le cf_templates/build_deployment.yaml modèle, puis cliquez sur Suivant.

Dans Spécifier les détails de la pile, spécifiez le nom de la pile, puis fournissez les valeurs suivantes pour les paramètres d'entrée :

Choisissez Suivant. Utilisez les paramètres par défaut dans Configurer les options de pile, puis choisissez Next.

Dans la section Révision, vérifiez le CloudFormation modèle AWS et les détails de la pile, puis choisissez Next.

Sélectionnez Créer la pile. 

Pendant le déploiement de la CloudFormation pile, le propriétaire de l'adresse e-mail que vous avez fournie dans les paramètres recevra un message l'invitant à s'abonner à une rubrique SNS. Pour s'abonner à Amazon SNS, le propriétaire doit choisir le lien contenu dans le message.

Une fois la pile créée, ouvrez l'onglet Sorties de la pile, puis enregistrez la valeur ARN de la clé EksCodeBuildkubeRoleARN de sortie. Cette valeur d'ARN IAM sera requise ultérieurement pour fournir au rôle CodeBuild IAM les autorisations nécessaires pour déployer des charges de travail dans le cluster Amazon EKS.

Ouvrez la console AWS Security Hub et accédez à Integrations.

Recherchez Aqua Security, puis sélectionnez Aqua Security : Aqua Security.

Choisissez Accepter les résultats.

Ouvrez le script cf_templates/kube_aws_auth_configmap_patch.sh shell dans votre environnement Amazon Linux ou macOS.

Authentifiez-vous auprès du cluster Amazon EKS en exécutant la commande suivante.

aws eks --region <aws-region> update-kubeconfig --name <eks-cluster-name>

Exécutez le script shell à l'aide de la commande suivante, en le <rolearn-eks-codebuild-kubectl> remplaçant par la EksCodeBuildkubeRoleARN valeur ARN enregistrée précédemment.

bash cf_templates/kube_aws_auth_configmap_patch.sh <rolearn-eks-codebuild-kubectl> 

La phase de CodeSecurity scan du pipeline échoue généralement si Checkov détecte des vulnérabilités dans les graphiques Dockerfile ou Helm. Cependant, le but de cet exemple est d'établir un processus permettant d'identifier les vulnérabilités de sécurité potentielles plutôt que de les corriger par le biais du pipeline CI/CD, généralement un DevSecOps processus. Dans le fichierbuildspec/buildspec_secscan.yaml, la checkov commande utilise l'--soft-failindicateur pour éviter une défaillance du pipeline.

      - echo -e "\n Running Dockerfile Scan"
      - checkov -f code/app/Dockerfile --framework dockerfile --soft-fail --summary-position bottom
      - echo -e "\n Running Scan of Helm Chart files"
      - cp -pv helm_charts/$EKS_CODEBUILD_APP_NAME/values.dev.yaml helm_charts/$EKS_CODEBUILD_APP_NAME/values.yaml
      - checkov -d helm_charts/$EKS_CODEBUILD_APP_NAME --framework helm --soft-fail --summary-position bottom
      - rm -rfv helm_charts/$EKS_CODEBUILD_APP_NAME/values.yaml

Pour que le pipeline échoue lorsque des vulnérabilités sont signalées pour les graphiques Dockerfile et Helm, l'--soft-failoption doit être supprimée de la checkov commande. Les développeurs ou les ingénieurs peuvent ensuite corriger les vulnérabilités et valider les modifications dans le référentiel du code CodeCommit source.

À l'instar de CodeSecurity Scan, la phase de construction utilise Aqua Security Trivy pour identifier les vulnérabilités d'image Docker GRAVES et CRITIQUES avant de transférer l'application vers Amazon ECR. Dans cet exemple, nous ne provoquons pas l'échec du pipeline en raison de vulnérabilités liées aux images Docker. Dans le fichierbuildspec/buildspec.yml, la trivy commande inclut l'indicateur --exit-codeavec une valeur 0, ce qui explique pourquoi le pipeline n'échoue pas lorsque des vulnérabilités d'image Docker HIGH ou CRITICAL sont signalées.

      - AWS_REGION=$AWS_DEFAULT_REGION AWS_ACCOUNT_ID=$AWS_ACCOUNT_ID trivy -d image --no-progress --ignore-unfixed --exit-code 0 --severity HIGH,CRITICAL --format template --template "@securityhub/asff.tpl" -o securityhub/report.asff $AWS_ACCOUNT_ID.dkr.ecr.$AWS_DEFAULT_REGION.amazonaws.com/$IMAGE_REPO_NAME:$CODEBUILD_RESOLVED_SOURCE_VERSION

Pour que le pipeline échoue lorsque HIGH, CRTICAL des vulnérabilités sont signalées, modifiez la valeur de --exit-code en1.

Les développeurs ou les ingénieurs peuvent ensuite corriger les vulnérabilités et valider les modifications dans le référentiel du code CodeCommit source.

Les vulnérabilités des images Docker signalées par Aqua Security Trivy sont téléchargées sur Security Hub. Sur la console AWS Security Hub, accédez à Findings. Filtrez les résultats avec Record State = Active et Product = Aqua Security. Cela répertoriera les vulnérabilités liées aux images Docker dans Security Hub. L'apparition de vulnérabilités sur Security Hub peut prendre entre 15 minutes et 1 heure.

Une fois la phase de construction terminée, il existe une porte d'approbation du déploiement. Le réviseur ou un responsable de version doit inspecter la version et, si toutes les exigences sont remplies, l'approuver. Il s'agit de l'approche recommandée pour les équipes qui utilisent la livraison continue pour le déploiement d'applications.

Après approbation, le pipeline lance la phase de déploiement.

Une fois la phase de déploiement réussie, le CodeBuild journal de cette étape fournit l'URL de l'application. Utilisez l'URL pour vérifier que l'application est prête.