使用 CI/CD 管道自動建置 Java 應用程式並將其部署到 Amazon EKS

登入 AWS 管理主控台，開啟 Amazon S3 主控台，然後在計劃部署此解決方案的 AWS 區域建立 S3 儲存貯體。如需詳細資訊，請參閱 Amazon S3 文件中的建立儲存貯體。

在 S3 儲存貯體中，建立名為code.

導覽至您複製儲存庫的位置。若要使用 .zip 副檔名 (cicdstack.zip) 建立整個程式碼的壓縮版本，並驗證 .zip 檔案，請依序執行下列命令。

注意：如果命python令失敗並指出未找到 Python，請python3改用。

cd aws-codepipeline-devsecops-amazoneks
python -m zipfile -c cicdstack.zip *
python -m zipfile -t cicdstack.zip

將cicdstack.zip檔案上傳到您先前在 S3 儲存貯體中建立的程式碼資料夾。

開啟 AWS 主 CloudFormation 控台，然後選擇建立堆疊。

在 [指定範本] 中，選擇 [上傳範本檔案]、[上傳cf_templates/codecommit_ecr.yaml檔案]，然後選擇 [下一步]。

在指定堆疊詳細資料中，輸入堆疊名稱，然後提供下列輸入參數值：

選擇 [下一步]，使用 [設定堆疊] 選項的預設設定，然後選擇 [下一步]。

在「複查」區段中，確認範本和堆疊詳細資料，然後選擇「建立堆疊」。然後會建立堆疊，包括 CodeCommit 和 Amazon ECR 儲存庫。

請記下 Java CI/CD 管道設定所需的儲存庫 CodeCommit 和 Amazon ECR 儲存庫的名稱。

在 CloudFormation 主控台的 [堆疊] 下，確認您已部署的 CloudFormation 堆疊狀態。堆疊的狀態應為「建立完成」。

此外，從主控台驗證 Amazon ECR 是 CodeCommit 否已佈建且已準備就緒。

在複製 GitHub 存放庫的位置中，導覽至資料夾helm_charts/aws-proserve-java-greeting。在此資料夾中，values.dev.yaml檔案包含有關 Kubernetes 資源組態的相關資訊，您可以針對容器部署到 Amazon EKS 進行修改。提供您的 AWS 帳戶 ID、AWS 區域和 Amazon ECR 儲存庫名稱，以更新 Docker 儲存庫參數。

image:
  repository: <account-id>.dkr.ecr.<region>.amazonaws.com/<app-ecr-repo-name>

Java 網繭的服務類型已設定為LoadBalancer。

service:
  type: LoadBalancer
  port: 80
  targetPort: 8080
  path: /hello
  initialDelaySeconds: 60
  periodSeconds: 30

若要使用不同的服務 (例如，NodePort)，您可以變更參數。如需詳細資訊，請參閱 Kubernetes 文件。

您可以將參數變更為，以啟動 Kubernetes 水平網繭自動配置器。autoscaling enabled: true

autoscaling:
  enabled: true
  minReplicas: 1
  maxReplicas: 100
  targetCPUUtilizationPercentage: 80
  # targetMemoryUtilizationPercentage: 80

從終端機執行下列命令，確認 Helm v3 已安裝在本機工作站中。

helm --version

如果沒有安裝頭盔 v3，請安裝它。

在終端機中，導覽至 Helm 圖表目錄 (helm_charts/aws-proserve-java-greeting)，然後執行下列命令。

helm lint . -f values.dev.yaml

這將檢查頭盔圖表的任何語法錯誤。

開啟 AWS 主 CloudFormation 控台，然後選擇「建立堆疊」。

在 [指定範本] 中，選擇 [上傳範本檔案]、上傳cf_templates/build_deployment.yaml範本，然後選擇 [下一步]。

在指定堆疊詳細資料中，指定堆疊名稱，然後為輸入參數提供下列值：

選擇下一步。使用 [設定堆疊選項] 中的預設設定，然後選擇 [下一步]。

在「檢閱」區段中，確認 AWS CloudFormation 範本和堆疊詳細資料，然後選擇「下一步」。

選擇建立堆疊。 

在 CloudFormation 堆疊部署期間，您在參數中提供之電子郵件地址的擁有者會收到訂閱 SNS 主題的訊息。若要訂閱 Amazon SNS，擁有者必須選擇訊息中的連結。

建立堆疊之後，開啟堆疊的 [輸出] 索引標籤，然後記錄EksCodeBuildkubeRoleARN輸出金鑰的 ARN 值。稍後將需要此 IAM ARN 值，才能為 CodeBuild IAM 角色提供權限，以便在 Amazon EKS 叢集中部署工作負載。

開啟 AWS Security Hub 主控台，然後瀏覽至整合。

搜尋「水上安全」，然後選擇「水上安全：水上安全」。

選擇接受搜尋結果。

在您的 Amazon Linux 或 macOS 環境中打開cf_templates/kube_aws_auth_configmap_patch.sh外圍程序腳本。

透過執行下列命令向 Amazon EKS 叢集進行驗證。

aws eks --region <aws-region> update-kubeconfig --name <eks-cluster-name>

使用下列命令執行 shell 指令碼，並<rolearn-eks-codebuild-kubectl>以您先前記錄EksCodeBuildkubeRoleARN的 ARN 值取代。

bash cf_templates/kube_aws_auth_configmap_patch.sh <rolearn-eks-codebuild-kubectl> 

如果 Checkov 偵測到 Dockerfile 或 Helm 圖表中的漏洞，管道中的 CodeSecurity 掃描階段通常會失敗。不過，這個範例的目的在於建立識別潛在安全性弱點的程序，而不是透過 CI/CD 管道 (通常是處理序) 修正。 DevSecOps 在檔案中buildspec/buildspec_secscan.yaml，checkov命令會使用--soft-fail旗標來避免管線失敗。

      - echo -e "\n Running Dockerfile Scan"
      - checkov -f code/app/Dockerfile --framework dockerfile --soft-fail --summary-position bottom
      - echo -e "\n Running Scan of Helm Chart files"
      - cp -pv helm_charts/$EKS_CODEBUILD_APP_NAME/values.dev.yaml helm_charts/$EKS_CODEBUILD_APP_NAME/values.yaml
      - checkov -d helm_charts/$EKS_CODEBUILD_APP_NAME --framework helm --soft-fail --summary-position bottom
      - rm -rfv helm_charts/$EKS_CODEBUILD_APP_NAME/values.yaml

若要讓管線在報告 Dockerfile 和 Helm 圖表的弱點時失敗，必須從命令中移除該--soft-failcheckov選項。然後，開發人員或工程師可以修復這些漏洞並將更改提交到 CodeCommit 源代碼存儲庫。

與 CodeSecurity 掃描類似，構建階段使用 Aqua 安全 Trivy 在推送應用程序之前識別高和關鍵 Docker 圖像漏洞。到 Amazon ECR。在此示例中，我們不會因 Docker 映像漏洞導致管道失敗。在檔案中buildspec/buildspec.yml，該trivy命令包含--exit-code帶有值的旗標 0，這就是為什麼在報告 HIGH 或 CRITIAL Docker 映像弱點時管道不會失敗的原因。

      - AWS_REGION=$AWS_DEFAULT_REGION AWS_ACCOUNT_ID=$AWS_ACCOUNT_ID trivy -d image --no-progress --ignore-unfixed --exit-code 0 --severity HIGH,CRITICAL --format template --template "@securityhub/asff.tpl" -o securityhub/report.asff $AWS_ACCOUNT_ID.dkr.ecr.$AWS_DEFAULT_REGION.amazonaws.com/$IMAGE_REPO_NAME:$CODEBUILD_RESOLVED_SOURCE_VERSION

若要讓管道在報告HIGH, CRTICAL弱點時失敗，請--exit-code將的值變更為1。

然後，開發人員或工程師可以修復這些漏洞並將更改提交到 CodeCommit 源代碼存儲庫。

Aqua 安全 Trivy 回報的 Docker 映像漏洞已上傳到 Security Hub。在 AWS Security Hub 主控台上，導覽至發現項目。使用「記錄狀態」=「活動」和「產品 = Aqua 安全性」過濾發現項 這將列出 Security Hub 中的 Docker 映像漏洞。Security Hub 心可能需要 15 分鐘 — 1 小時才會出現弱點。

建置階段完成之後，就會有部署核准閘門。審核者或發行管理員應該檢查組建，如果滿足所有需求，則核准它。對於使用持續交付進行應用程式部署的團隊，這是建議使用的方法。

核准後，管線會啟動「部署」階段。

部署階段成功之後，此階段的 CodeBuild 記錄會提供應用程式的 URL。使用 URL 來驗證應用程式的準備程度。