使用 CI/CD 管道自动构建 Java 应用程序并将其部署到 Amazon EKS

登录 AWS 管理控制台，打开 Amazon S3 控制台，然后在计划部署此解决方案的 AWS 区域 创建 S3 存储桶。有关更多信息，请参阅 Amazon S3 文档中的创建存储桶。

在 S3 存储桶中，创建一个名为 code 的文件夹。

导航到您克隆存储库的位置。要创建扩展名为 .zip（cicdstack.zip）的整个代码的压缩版本并验证 .zip 文件，请按顺序运行以下命令。

注意：如果 python 命令失败并显示未找到 Python，请改用 python3。

cd aws-codepipeline-devsecops-amazoneks
python -m zipfile -c cicdstack.zip *
python -m zipfile -t cicdstack.zip

将cicdstack.zip 文件上传到您在上一步的 S3 存储桶中创建的代码文件夹。

打开 AWS CloudFormation 控制台并选择创建堆栈。

在指定模板中，选择上传模板文件，上传 cf_templates/codecommit_ecr.yaml 文件，然后选择下一步。

在指定堆栈详细信息中，输入堆栈名称，然后提供以下输入参数值：

选择下一步，使用配置堆栈选项的默认设置，然后选择下一步。

在查看部分中，验证模板和堆栈的详细信息，然后选择创建堆栈。然后创建堆栈，包括 CodeCommit 和 Amazon ECR 存储库。

记下 CodeCommit 和 Amazon ECR 存储库的名称，这是 Java CI/CD 管道设置所必需的。

在 CloudFormation 控制台的 “堆栈” 下，验证您部署的 CloudFormation 堆栈的状态。堆栈的状态应为创建完成。

此外，在控制台中进行验证， CodeCommit Amazon ECR 已配置完毕并准备就绪。

在您克隆 GitHub 存储库的位置，导航到该文件夹helm_charts/aws-proserve-java-greeting。在此文件夹中，该 values.dev.yaml 文件包含有关 Kubernetes 资源配置的信息，您可以针对将容器部署到 Amazon EKS 来修改这些配置。通过提供 Amazon Web Services account ID、AWS 区域 和 Amazon ECR 存储库名称来更新 Docker 存储库参数。

image:
  repository: <account-id>.dkr.ecr.<region>.amazonaws.com/<app-ecr-repo-name>

Java 容器组（pod）的服务类型设置为 LoadBalancer。

service:
  type: LoadBalancer
  port: 80
  targetPort: 8080
  path: /hello
  initialDelaySeconds: 60
  periodSeconds: 30

要使用其他服务（例如 NodePort），可以更改参数。有关更多信息，请参阅 Kubernetes 文档。

您可以通过将参数 autoscaling 更改为 enabled: true 来激活 Kubernetes 水平容器组（pod）自动扩缩器。

autoscaling:
  enabled: true
  minReplicas: 1
  maxReplicas: 100
  targetCPUUtilizationPercentage: 80
  # targetMemoryUtilizationPercentage: 80

在终端上，运行以下命令，验证 Helm v3 是否已安装在本地工作站中。

helm --version

如果未安装 Helm v3，请安装。

在终端中，导航到 Helm 图表目录（helm_charts/aws-proserve-java-greeting），然后运行以下命令。

helm lint . -f values.dev.yaml

这将检查 Helm 图表中是否存在任何语法错误。

打开 AWS CloudFormation 控制台，然后选择创建堆栈。

在指定模板中，选择上传模板文件，上传 cf_templates/build_deployment.yaml 模板，然后选择下一步。

在指定堆栈详细信息中，指定堆栈名称，然后提供以下输入参数值：

选择下一步。使用配置堆栈选项的默认设置，然后选择下一步。

在查看部分，验证 AWS CloudFormation 模板和堆栈详细信息，然后选择下一步。

选择创建堆栈。 

在 CloudFormation 堆栈部署期间，您在参数中提供的电子邮件地址的所有者将收到一条订阅 SNS 主题的消息。要订阅 Amazon SNS，所有者必须选择消息中的链接。

创建堆栈后，打开堆栈的输出选项卡，然后记录 EksCodeBuildkubeRoleARN 输出密钥的 ARN 值。稍后将需要此 IAM ARN 值才能 CodeBuild 向 IAM 角色提供在 Amazon EKS 集群中部署工作负载的权限。

打开 AWS Security Hub 控制台，然后导航到集成。

搜索 Aqua Security，然后选择 Aqua Security：Aqua Security。

选择接受调查发现。

在 Amazon Linux 或 macOS 环境中打开 cf_templates/kube_aws_auth_configmap_patch.sh Shell 脚本。

通过运行以下命令对 Amazon EKS 集群进行验证。

aws eks --region <aws-region> update-kubeconfig --name <eks-cluster-name>

使用以下命令运行 Shell 脚本，将 <rolearn-eks-codebuild-kubectl> 替换为之前记录的 EksCodeBuildkubeRoleARN ARN 值。

bash cf_templates/kube_aws_auth_configmap_patch.sh <rolearn-eks-codebuild-kubectl> 

如果 Checkov 在 Dockerfile 或 Helm 图表中检测到漏洞，则管道中的 CodeSecurity 扫描阶段通常会失败。但是，此示例的目的是建立一个识别潜在安全漏洞的过程，而不是通过 CI/CD 管道（通常是一个 DevSecOps 过程）修复漏洞。在文件 buildspec/buildspec_secscan.yaml 中，该 checkov 命令使用 --soft-fail 标志来避免管线故障。

      - echo -e "\n Running Dockerfile Scan"
      - checkov -f code/app/Dockerfile --framework dockerfile --soft-fail --summary-position bottom
      - echo -e "\n Running Scan of Helm Chart files"
      - cp -pv helm_charts/$EKS_CODEBUILD_APP_NAME/values.dev.yaml helm_charts/$EKS_CODEBUILD_APP_NAME/values.yaml
      - checkov -d helm_charts/$EKS_CODEBUILD_APP_NAME --framework helm --soft-fail --summary-position bottom
      - rm -rfv helm_charts/$EKS_CODEBUILD_APP_NAME/values.yaml

要使管线在报告 Dockerfile 和 Helm 图表的漏洞时失败，必须从 checkov 命令中删除该 --soft-fail 选项。然后，开发人员或工程师可以修复漏洞并将更改提交到 CodeCommit 源代码存储库。

与 CodeSecurity 扫描类似，在将应用程序推送到 Amazon ECR 之前，构建阶段使用 Aqua Security Trivy 来识别高风险和严重 Docker 镜像漏洞。在此示例中，我们不会因为 Docker 映像漏洞而使管线失败。在文件 buildspec/buildspec.yml 中，该 trivy 命令包含带有 0值的标志 --exit-code ，这就是为什么在报告 HIGH 或 CRITICAL Docker 映像漏洞时管线不会失效的原因。

      - AWS_REGION=$AWS_DEFAULT_REGION AWS_ACCOUNT_ID=$AWS_ACCOUNT_ID trivy -d image --no-progress --ignore-unfixed --exit-code 0 --severity HIGH,CRITICAL --format template --template "@securityhub/asff.tpl" -o securityhub/report.asff $AWS_ACCOUNT_ID.dkr.ecr.$AWS_DEFAULT_REGION.amazonaws.com/$IMAGE_REPO_NAME:$CODEBUILD_RESOLVED_SOURCE_VERSION

要使管线在报告 HIGH, CRTICAL 漏洞时失败，请将 --exit-code 的值更改为 1。

然后，开发人员或工程师可以修复漏洞并将更改提交到 CodeCommit 源代码存储库。

Aqua Security Trivy 报告的 Docker 映像漏洞已上传到 Security Hub。在 AWS Security Hub 控制台上，导航到调查发现。使用记录状态 = 活跃和产品 = Aqua Security来筛选调查发现。这将列出 Security Hub 中的 Docker 映像漏洞。漏洞可能需要 15 分钟到 1 小时才会出现在 Security Hub 上。

构建阶段完成后，将有一个部署批准门。审查者或发布经理应检查该构建，如果满足所有要求，则应予以批准。对于使用持续交付进行应用程序部署的团队，推荐使用这种方法。

批准后，管线将启动部署阶段。

部署阶段成功后，此阶段的 CodeBuild 日志将提供应用程序的 URL。使用 URL 验证应用程序是否准备就绪。