手を動かして学ぶOWASP DevSecOps Guideline - 第1回：CI/CD基盤構築編

git clone https://github.com/koheinomura-aq/owasp-devsecops-techblog-1

owasp-devsecops-techblog-1/       # プロジェクトルート
├─ README.md                   
├─ .gitignore
├─ terraform/
│   ├─ provider.tf               # provider設定・Terraformバージョン
│   ├─ network.tf                # VPC / サブネット / RT / VPCエンドポイント
│   ├─ bastion.tf                # 踏み台EC2・SSM用IAMロール・SG・AMI
│   ├─ ecs_ecr_alb.tf            # ECR / ECS / ALB / タスク定義 / SG Service
│   ├─ github-actions.tf         # GitHub OIDC / Actions用IAMロール
|   ├─ variables.tf              # 変数ファイル
│   ├─ outputs.tf                # リソースの出力値
|   └─ terraform.tfvars.example  # 環境変数ファイルのテンプレート
│
└─ .github/
    └─ workflows/
        ├─ deploy-stg.yml        # ステージングデプロイ用GitHub Actionsワークフロー
        └─ deploy-prd.yml        # 本番デプロイ用GitHub Actionsワークフロー

cd owasp-devsecops-techblog-1/terraform
cp terraform.tfvars.example terraform.tfvars

github_repo_owner = "your-github-username"
github_repo_name  = "your-repository-name"

terraform init

terraform plan

terraform apply

Apply complete! Resources: 38 added, 0 changed, 0 destroyed.

Outputs:

alb_dns_name = "internal-xxxxx-internal-alb-xxxxxxxxxx.ap-northeast-1.elb.amazonaws.com"
bastion_instance_id = "i-xxxxxxxxxxxxxxxxx"
ecr_repository_url = "xxxxxxxxxxxx.dkr.ecr.ap-northeast-1.amazonaws.com/devsecops-juiceshop"
ecs_cluster_name = "devsecops-juiceshop-cluster"
github_actions_role_arn = "arn:aws:iam::xxxxxxxxxxxx:role/devsecops-github-actions-role"
prd_service_name = "prd-juiceshop"
stg_service_name = "stg-juiceshop"
subnets = {
  "private_a" = "subnet-xxxxxxxxxxxxxxxxx"
  "private_c" = "subnet-xxxxxxxxxxxxxxxxx"
}
vpc_endpoints_dns = {
  "ec2messages" = "vpce-xxxxxxxxxxxxxxxxx.ec2messages.ap-northeast-1.vpce.amazonaws.com"
  "ecr_api"     = "vpce-xxxxxxxxxxxxxxxxx.api.ecr.ap-northeast-1.vpce.amazonaws.com"
  "ecr_dkr"     = "vpce-xxxxxxxxxxxxxxxxx.dkr.ecr.ap-northeast-1.vpce.amazonaws.com"
  "logs"        = "vpce-xxxxxxxxxxxxxxxxx.logs.ap-northeast-1.vpce.amazonaws.com"
  "ssm"         = "vpce-xxxxxxxxxxxxxxxxx.ssm.ap-northeast-1.vpce.amazonaws.com"
  "ssmmessages" = "vpce-xxxxxxxxxxxxxxxxx.ssmmessages.ap-northeast-1.vpce.amazonaws.com"
}
vpc_id = "vpc-xxxxxxxxxxxxxxxxx"

ecr_repository_url = "xxxxxxxxxxxx.dkr.ecr.ap-northeast-1.amazonaws.com/devsecops-juiceshop"
ecs_cluster_name = "devsecops-juiceshop-cluster"
github_actions_role_arn = "arn:aws:iam::xxxxxxxxxxxx:role/devsecops-github-actions-role"
prd_service_name = "prd-juiceshop"
stg_service_name = "stg-juiceshop"

Error: creating IAM OIDC Provider: operation error IAM: CreateOpenIDConnectProvider,
StatusCode: 409, EntityAlreadyExists:
Provider with url https://token.actions.githubusercontent.com already exists.

# resource "aws_iam_openid_connect_provider" "github" {
#   url = "https://token.actions.githubusercontent.com"
#
#   client_id_list = [
#     "sts.amazonaws.com"
#   ]
#
#   thumbprint_list = [
#     "9e99a48a9960b14926bb7f3b02e22da0ecd4e50f"
#   ]
# }

data "aws_iam_openid_connect_provider" "github" {
  url = "https://token.actions.githubusercontent.com"
}

# Federated = aws_iam_openid_connect_provider.github.arn
Federated = data.aws_iam_openid_connect_provider.github.arn

terraform apply

git clone https://github.com/<your-account>/<your-repository>
cd <your-repository>

name: CI/CD Pipeline (stg)

on:
  push:
    branches:
      - main # mainブランチにpushされたときにパイプラインが動作

permissions:
  id-token: write   # OIDCを使ったロール引き受けに必要
  contents: read

jobs:
  build-and-push:
    name: Build & Push Docker Image
    runs-on: ubuntu-latest # GitHub Actionsの実行環境

    steps:
      - name: Checkout
        uses: actions/checkout@v4
        # リポジトリのソースコードを取得

      - name: Configure AWS Credentials
        uses: aws-actions/configure-aws-credentials@v4
        with:
          role-to-assume: $ # OIDCでAssumeするIAMロール
          aws-region: $             # AWSリージョン
        # ここでGitHubがOIDCを使ってAWS IAMロールを引き受ける

      - name: Login to Amazon ECR
        uses: aws-actions/amazon-ecr-login@v2
        # ECRにログインしてdocker pushを行えるようにする

      - name: Build Docker image
        run: |
          docker build -t juice:latest .
        # Dockerfileをもとにイメージをビルド

      - name: Tag image
        run: |
          docker tag juice:latest $:latest
        # ビルドしたイメージにECRリポジトリのタグ（latest）を付与

      - name: Push image to ECR
        run: |
          docker push $:latest
        # ECRにDockerイメージをpush（latest タグ）

  deploy-stg:
    name: Deploy to Staging
    runs-on: ubuntu-latest
    needs: build-and-push #build & pushが成功したら実行

    steps:
      - name: Configure AWS Credentials
        uses: aws-actions/configure-aws-credentials@v4
        with:
          role-to-assume: $
          aws-region: $
        # 再度AWSロールを引き受け（ジョブごとに必要）

      - name: Deploy to ECS (stg)
        run: |
          aws ecs update-service \
            --cluster $ \
            --service $ \
            --force-new-deployment
        # ECSのServiceに対してForce New Deploymentを実行
        # → 最新のECRイメージを使って再デプロイが走る

name: Deploy to Production

on:
  workflow_dispatch:  # ← 手動実行のみ（mainへのpushでは動かない）
  # 本番デプロイは人間がトリガーするようにし、誤デプロイを防ぐ

permissions:
  id-token: write   # AWS IAMロールの引き受け（OIDC）に必要
  contents: read

jobs:
  deploy-prd:
    name: Deploy to Production
    runs-on: ubuntu-latest  # GitHub Actionsの実行環境

    steps:
      - name: Configure AWS Credentials
        uses: aws-actions/configure-aws-credentials@v4
        with:
          role-to-assume: $ # OIDCで引き受けるIAMロール
          aws-region: $             # AWSリージョン
        # GitHub ActionsがAWSにアクセスできるように認証・権限設定を行う

      - name: Deploy to ECS (prd)
        run: |
          aws ecs update-service \
            --cluster $ \
            --service $ \
            --force-new-deployment
        # ECSサービスに対してForce New Deploymentを実行
        # → 最新タグのコンテナイメージ（latest など）を使用して再デプロイ
        # ※イメージのbuild & pushは別のワークフローで実施されている前提

FROM bkimminich/juice-shop:latest

<your-repository>/
├── .github/
│   └── workflows/
│       ├── deploy-stg.yml     # ステージング用GitHub Actionsワークフロー
│       └── deploy-prd.yml     # 本番用GitHub Actionsワークフロー
└── Dockerfile                 # Juice ShopベースのDockerイメージ定義

git add .
git commit -m "Add CI/CD workflows and Dockerfile"
git push origin main

aws ssm start-session   --target <BastionサーバのインスタンスID>   --document-name AWS-StartPortForwardingSessionToRemoteHost   --parameters '{"host":["<ALBのDNS名>"],"portNumber":["8080"],"localPortNumber":["<任意のローカルポート番号>"]}'

aws ssm start-session   --target <BastionサーバのインスタンスID>   --document-name AWS-StartPortForwardingSessionToRemoteHost   --parameters '{"host":["<ALBのDNS名>"],"portNumber":["80"],"localPortNumber":["<任意のローカルポート番号>"]}'