AWS環境でAquaを導入するハンズオンをやってみた

枡川健太郎

2021.11.19

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

こんにちは。枡川です。
コンテナセキュリティ系の機能が盛りだくさんなAqua Enterpriseについて学ぶため下記ハンズオンを実施しました。
Application Modernization with Aqua
EKS環境でのセットアップやCodePipelineとの連携方法などをざっと学ぶことができますよ！

画像引用: ハンズオン内のModule1の説明資料より

前提・注意点について

本記事における検証においては、Aqua社から提供いただいたトライアルアカウントを利用しています。
ハンズオンを実施する際もAqua Enterpriseのライセンスが必要となるためご注意下さい。

ハンズオン

ハンズオン概要

本ハンズオンは下記3つのModuleに分かれています。

Module1(DevSecOps)：GitHub+CodePipelineを使用したCI/CDパイプラインとAqua Enterpriseの連携
Module2(Secure ECR Registry)：ECRにあるコンテナイメージのスキャン
Module3(Secure the Workloads)：ランタイムポリシーについて

英語のテキストで所要時間は2時間程度と記載されています。
2時間弱で終わりましたが、eksctlでのクラスター作成に20分近くかかったりしたので実際に手を動かしていたのは1時間30分程度です。

一番良かった点

CI/CDパイプラインとAqua Enterpriseを連携させる際のイメージを掴むことができたことです。
単体のバイナリでイメージスキャンが可能なTrivy等と比較してCI/CDパイプラインに埋め込むのが大変かと思いましたが、CodeBuildでの設定は簡単でした。
コンテナでセットアップしている部分はTrivyより大変ですが、セットアップが完了してしまえば楽に組み込むことができます。
それにAqua Enterpriseであればイメージスキャン以外にも豊富な機能を使えるので、Trivy等と単純な比較はできないですね。
ちなみにハンズオン内で使用したbuildspec.ymlにおいてAqua Enterpriseでのスキャンに関係する部分は下記です。
./scannercliを使用してAqua Enterpriseでのスキャンを実行しています。

version: 0.2
phases:
  install:
    commands:
      -------------------------中略-------------------------
      - wget --quiet https://aqua-binary.s3.amazonaws.com/scannercli
      - chmod +x scannercli
  -------------------------中略-------------------------
  build:
    commands:
      - docker build --tag $REPOSITORY_URI:$TAG .
      - ./scannercli scan --host $AQUA_URL --user $AQUA_USER --password $AQUA_PASSWORD --local $REPOSITORY_URI:$TAG --no-verify --htmlfile aqua.html
      -------------------------中略-------------------------
  files: 
    - build-devsecops.json
    - aqua.html
  name: build-devsecops-${CODEBUILD_BUILD_NUMBER}

ハンズオンやってみた(Module1)

CI/CDパイプラインとAqua Enterpriseを連携するModule1について紹介します。
イメージスキャンをCI/CDパイプラインに埋め込む際はAqua側で設定が可能です。
Fail the Aqua step in CI/CDにチェックを入れることで、セキュリティ基準に満たない場合にビルドを失敗させることができます。
逆に言えばここにチェックが入っていない場合はAqua EnterpriseはCI/CDパイプラインを止めません。
CI/CDパイプラインを失敗させる脆弱性のレベル等も指定することができます。