開発環境向けの配布コンテナのCI/CDに「DevSecOps」の考え方を取り入れた話

「DevSecOps」とは

まず「DevOps」という言葉は、IT関係の仕事に従事する方なら聞き覚えのある方も多いのではないでしょうか？

「DevOps」とは、開発チームと運用チームが連携し、ソフトウェアの開発・リリースプロセスをより柔軟に実行する開発手法です。

これにより、開発サイクルを迅速かつ頻繁に回せるようになることが期待できます。

しかし、いくら開発サイクルが迅速になってもその分セキュリティ面が疎かになり、リリース直前で大幅な手戻りが発生していてはあまり意味がありません。

そこで、開発と運用の観点にセキュリティの観点も組み込んで、開発サイクルを回せるようにしたのが「DevSecOps」の考え方です。

「DevSecOps」については、当社の運営するDX Media「DOORS」に詳しく紹介されていますので興味のある方はぜひご一読ください！

改善したワークフロー内容

「DevSecOps」の考え方を取り入れるために改善したワークフローの改善前と改善後の状況を以下の図に示します。

リリースエンジニアリングの観点での整理

ここでは、Google 社が発表している書籍「Site Reliability Engineering」の８章で定義されているリリースエンジニアリングに関する4つの哲学に従って今回の改善前、改善後の状況を整理していきます。

取り組んだ内容や利用したツールの紹介

リリースエンジニアリング視点で整理した改善項目を実現するために、以下のツールを利用しました。

• Dockerfile のScan に hadolint を利用
• Build の高速化として .dockerignore を設定
• Container のテストに goss/dgoss を利用
• Security Scanに trivy と dockle を利用

CircleCI例（ymlファイル）

- run:
    name: lint dockerfile
    command: hadolint <image name:tag>:${CIRCLE_BUILD_NUM}

- run:
    name: test docker image
    environment:
      GOSS_FILES_STRATEGY: cp   # circleci では設定する必要がある
    command: |
      cp <path to goss yaml>/goss.yaml .
      dgoss run -e ENV_VAR="123" <image name:tag>:${CIRCLE_BUILD_NUM} /bin/sh

- run:
    name: image scan trivy
    command: trivy --exit-code 1 <image name:tag>:${CIRCLE_BUILD_NUM}

- run:
    name: image scan dockle
    command: dockle -c 1 <image name:tag>:${CIRCLE_BUILD_NUM}

改善点の比較

これにより、コンテナのビルドとデプロイ部分におけるワークフローにセキュリティに関するチェックが追加され、「DevSecOps」の考え方を取り入れることができました。

参考ページ

• AWS×コンテナで基本的な「DevSecOps」アーキテクチャをデザインしたお話
• 脆弱性スキャナTrivyがDockerおよびHarbour内の統合オプションとして利用可能に

今回は以上になります！

今後も継続してプロダクト開発の事例を発信していこうと思います！

最後になりますがブレインパッドではエンジニア採用を積極的に行っております。

ご興味のある方は是非ご応募お待ちしております！

https://www.brainpad.co.jp/recruit/