Pulumiを使ってSnyk ContainerのKubernetesインテグレーションを自動化する

著者

Pas Apicella

2022年2月9日

0 分で読めます

Infrastructure as Code（IaC）という言葉はよく耳にしますが、この文脈におけるコードは、プログラミング言語で書かれたコードとは少し異なります。IaCは通常、Terraform、CloudFormation、Kubernetes YAML、Azure Resource Managerテンプレートなどのツールを使ってインフラストラクチャを構成することを指し、インフラストラクチャをどのように作成するかを定義するものです。こうした構成では、最新のプログラミング言語がもたらす柔軟性や機能を活用できません。つまり、IaCもコードではありますが、通常はそういう種類のコードではありません。

このブログでは、JavaScript、Typescript、Python、Goなど複数の言語でコードを記述できるオープンソースツール、Pulumiを使って、Snyk ContainerのKubernetesインテグレーションの設定に必要なものをすべて作成する手順を紹介します。

Snyk Kubernetesインテグレーションの概要

SnykはKubernetesと連携し、稼働中のワークロードをインポートしてテストすることで、関連するイメージや構成に含まれる脆弱性を特定します。こうした脆弱性は、ワークロードのセキュリティを損なうおそれがあります。インポート後もSnykはワークロードを継続的に監視し、新しいイメージのデプロイやワークロード構成の変更に伴って発生するセキュリティ上の問題を検出します。

Pulumiとは？

Pulumiは、広く利用されているプログラミング言語を活用し、クラウドリソースのプロビジョニングと管理を簡素化するオープンソースのIaCツールです。

2017年の創業以来、PulumiはDevOpsチームのInfrastructure as Codeへの取り組み方を根本から変えてきました。ドメイン固有言語に頼る代わりに、実際のプログラミング言語を使ってクラウドネイティブなインフラストラクチャをプロビジョニング、廃止できます。

Pulumiがサポートするプログラミング言語：

Python
JavaScript
Go
TypeScript
.NET言語（C#、F#、VB）

PulumiでSnyk Kubernetesインテグレーションをインストールする方法

いよいよ実践です。Pulumiをセットアップして自動化を開始するまで、順を追って説明します。以下の手順で進めます。

前提条件

Kubernetesインテグレーションを利用するには、SnykのBusinessまたはEnterpriseアカウントが必要です。アカウントをお持ちでない場合は、Businessを14日間無料でお試しください。
今回はGoogle Cloudにデプロイするため、アカウントが必要です。アカウントをお持ちでない場合は、こちらから無料で登録してください。いずれの場合も、こちらの手順に従ってPulumiをGoogle Cloudアカウントに接続してください。
この例では、gcloud CLIがパスに設定されていることを前提としています。これはGoogle Cloud SDKの一部としてインストールされます。
Python 3、Pulumiアカウント、Pulumi CLIが必要です。
Pulumiでは、環境のデフォルトとしてPython 3が設定されている必要があります。Python 2とPython 3を両方インストールしている場合、エイリアスの作成が必要になることがあります。次のコマンドを実行し、最新の3.xバージョンを使用していることを確認してください。

1❯ python --version
2Python 3.9.9

ステップ1：SnykアプリでKubernetesインテグレーションIDを設定する

Snykにログインし、Kubernetesインテグレーションを自動設定する組織を選択します。空の組織でも、プロジェクトがある既存の組織でも構いません。この例では、選択した組織でKubernetesインテグレーションがまだ設定されていないことを確認してください。

次に、インテグレーション > Kubernetes > 接続をクリックします。SnykのBusinessまたはEnterpriseアカウントをお持ちでない場合、この手順は実行できません。

後で必要になるため、インテグレーションIDを控えておきます。

Kubernetesインテグレーションが未接続と表示されたSnykのプロジェクト設定画面。［接続］ボタンが強調表示されています。

これで準備完了です。Pulumi Infrastructure as Codeを使って、Snyk Kubernetesインテグレーションのデモをセットアップできます。Pulumiでは次の処理を行います。

GKEクラスターを作成する
クラスターにSnykコントローラーをデプロイする0
K8sワークロードをSnykに自動インポートするため、Snyk Kubernetesインテグレーションを設定する
Regoポリシーファイルに従い、apples名前空間にサンプルワークロードをデプロイする

ステップ2：サンプルリポジトリをクローンする

以下の手順に沿って、次のデモ用GitHubリポジトリをクローンします。

1$ git clone https://github.com/papicella/snyk-kubernetes-integration
2Cloning into 'snyk-kubernetes-integration'...
3remote: Enumerating objects: 18, done.
4remote: Counting objects: 100% (18/18), done.
5remote: Compressing objects: 100% (14/14), done.
6remote: Total 18 (delta 8), reused 14 (delta 4), pack-reused 0
7Receiving objects: 100% (18/18), 8.76 KiB | 4.38 MiB/s, done.
8Resolving deltas: 100% (8/8), done.

リポジトリをクローンしたら、そのディレクトリにcdで移動し、次のコマンドを実行します…

ステップ3：Google Cloudで認証する

このデモをデプロイするには、ローカル認証を使ってGoogle Cloudで認証します。PulumiとGoogle Cloudの連携には他の方法もありますが、このデモではこれが最も簡単です。

1$ gcloud auth login

ステップ4：新しいPulumiスタックを作成する

この例の独立したデプロイ先となる新しいスタックを作成します。例としてdevを使用します。

1$ pulumi stack init dev

ステップ5：必要なPulumi構成変数を設定する

多くの場合、同じプロジェクト内のスタックごとに異なる値が必要になります。たとえば、Google Cloud Computeインスタンスのサイズを変えたり、開発用スタックと本番用スタックでKubernetesクラスターのサーバー数を変えたりできます。

スタックのキーと値のペアはプロジェクトのスタック設定ファイルに保存されます。このファイルは自動的にPulumi.<stack-name>.yamlという名前になります。通常、このファイルを意識する必要はありませんが、プロジェクトのソースコードとともにチェックインしてバージョン管理することもできます。

以下のように、次の構成変数をスタックに追加します。

1$ pulumi config set gcp:project [your-gcp-project-here] # Eg: snyk-cx-se-demo
2$ pulumi config set gcp:zone us-central1-c # any valid GCP zone here
3$ pulumi config set password --secret [your-cluster-password-here] # password for the cluster
4$ pulumi config set master_version 1.21.6-gke.1500 # any valid K8s master version on GKE

デフォルトでは、クラスターにはn1-standard-1タイプのノードが3つ作成されます。この設定は変更できます。たとえば、n1-standard-2タイプのノードを5つにする場合は、次のコマンドを実行します。

1$ pulumi config set node_count 5
2$ pulumi config set node_machine_type n1-standard-2

最後に、Snyk Kubernetesインテグレーションをクラスターに自動設定するために必要な設定を行います。KubernetesインテグレーションIDとSnyk組織IDが必要です。この例では、両者は同じです。

1$ pulumi config set snyk_K8s_integration_id K8S_INTEGRATION_ID #same as ORG_ID at the moment
2$ pulumi config set snyk_org_id ORG_ID # your Snyk ORG ID under settings

このように、スタックは便利な形で構成できます。プロビジョニング後に変更することも可能です。

完了すると、次の内容を含むPulumi.dev.yamlファイルが作成されます。

1config:
2gcp-K8s-integration-demo:master_version: 1.21.5-gke.1302
3gcp-K8s-integration-demo:node_count: "3"
4gcp-K8s-integration-demo:node_machine_type: n1-standard-2
5gcp-K8s-integration-demo:password:
6    secure: AAABsomesecret+EnF1p4w==
7gcp-K8s-integration-demo:snyk_K8s_integration_id: yyyy1234
8gcp-K8s-integration-demo:snyk_org_id: yyyy1234
9gcp:project: snyk-cx-se-demo
10gcp:zone: us-central1-c

ステップ6：pulumi upで一式をデプロイする

pulumi upコマンドで一式をデプロイすると、GKEクラスターやSnykコントローラーのHelmチャートなど、Snyk Kubernetesインテグレーションに必要なGoogle Cloudリソースがすべてプロビジョニングされます。続いて、Spring Bootアプリケーションを実行するKubernetesデプロイメントが作成されます。

1$ pulumi up

プレビューが表示され、確認を求められた後、Snyk Kubernetesインテグレーションのデモに必要なリソースのプロビジョニングが始まります。

1$ pulumi up
2Previewing update (dev)
3
4View Live: https://app.pulumi.com/papicella/gcp-K8s-integration-demo/dev/previews/1db6492c-ae23-4e87-abf0-41e09fb62177
5
6    Type                                                              Name                          Plan
7+   pulumi:pulumi:Stack                                               gcp-K8s-integration-demo-dev  create
8+   ├─ kubernetes:helm.sh/v3:Chart                                    snyk-monitor                  create
9+   │  ├─ kubernetes:core/v1:ServiceAccount                           snyk-monitor/snyk-monitor     create
10+   │  ├─ kubernetes:networking.k8s.io/v1:NetworkPolicy               snyk-monitor/snyk-monitor     create
11+   │  ├─ kubernetes:rbac.authorization.k8s.io/v1:ClusterRole         snyk-monitor                  create
12+   │  ├─ kubernetes:rbac.authorization.k8s.io/v1:ClusterRoleBinding  snyk-monitor                  create
13+   │  └─ kubernetes:apps/v1:Deployment                               snyk-monitor/snyk-monitor     create
14+   ├─ gcp:container:Cluster                                          pulumi-gke-cluster            create
15+   ├─ pulumi:providers:kubernetes                                    gke_k8s                       create
16+   ├─ kubernetes:core/v1:Namespace                                   snyk-monitor                  create
17+   ├─ kubernetes:core/v1:Namespace                                   apples                        create
18+   ├─ kubernetes:core/v1:ConfigMap                                   snyk-monitor-custom-policies  create
19+   ├─ kubernetes:core/v1:Service                                     springboot-employee-api       create
20+   ├─ kubernetes:core/v1:Secret                                      snyk-monitor                  create
21+   └─ kubernetes:apps/v1:Deployment                                  springboot-employee-api       create
22
23Resources:
24    + 15 to create

約5分後、クラスターの準備が整い、Snykコントローラーがインストールされ、サンプルワークロードのデプロイメントがSnyk組織に自動インポートされます。

1Do you want to perform this update? yes
2Updating (dev)
3
4View Live: https://app.pulumi.com/papicella/gcp-K8s-integration-demo/dev/updates/1
5
6    Type                                                              Name                          Status
7+   pulumi:pulumi:Stack                                               gcp-K8s-integration-demo-dev  created
8+   ├─ kubernetes:helm.sh/v3:Chart                                    snyk-monitor                  created
9+   │  ├─ kubernetes:core/v1:ServiceAccount                           snyk-monitor/snyk-monitor     created
10+   │  ├─ kubernetes:networking.k8s.io/v1:NetworkPolicy               snyk-monitor/snyk-monitor     created
11+   │  ├─ kubernetes:rbac.authorization.k8s.io/v1:ClusterRole         snyk-monitor                  created
12+   │  ├─ kubernetes:rbac.authorization.k8s.io/v1:ClusterRoleBinding  snyk-monitor                  created
13+   │  └─ kubernetes:apps/v1:Deployment                               snyk-monitor/snyk-monitor     created
14+   ├─ gcp:container:Cluster                                          pulumi-gke-cluster            created
15+   ├─ pulumi:providers:kubernetes                                    gke_k8s                       created
16+   ├─ kubernetes:core/v1:Namespace                                   snyk-monitor                  created
17+   ├─ kubernetes:core/v1:Namespace                                   apples                        created
18+   ├─ kubernetes:core/v1:Service                                     springboot-employee-api       created
19+   ├─ kubernetes:core/v1:ConfigMap                                   snyk-monitor-custom-policies  created
20+   ├─ kubernetes:core/v1:Secret                                      snyk-monitor                  created
21+   └─ kubernetes:apps/v1:Deployment                                  springboot-employee-api       created
22
23Outputs:
24    kubeconfig: "[secret]"
25
26Resources:
27    + 15 created
28
29Duration: 6m28s

以下のスクリーンショットで、すべてが想定どおりに作成されたことを確認できます。

Google Cloudに作成されたGKEクラスター：

pulumi-gke-cluster-008049bクラスターの詳細を表示するGoogle Kubernetes Engineコンソール。

自動設定されたSnyk Kubernetesインテグレーション：

Kubernetesインテグレーションが接続済みで、Kubernetesワークロードの追加オプションとインテグレーションの詳細が表示されたSnykの設定ページ。

apples名前空間から自動インポートされたサンプルワークロード：

セキュリティ問題の深刻度別の件数が表示された Kubernetes プロジェクトと、別のプロジェクトを追加するオプションが表示された Snyk Projects ダッシュボード

Kubernetesのデプロイに52件の脆弱性とセキュアな設定チェックの失敗があることを示すSnykのダッシュボード

構成を詳しく見る

Pythonファイル__main__.pyを詳しく見て、Snyk Kubernetesインテグレーションがどのようにインストール、設定されたのかを確認しましょう。

Snykコントローラーが使用するRegoポリシーファイルは現在、apples名前空間のワークロードのみをインポートし、CronJobまたはServiceタイプのものは除外するようにハードコードされています。この設定は__main__.pyで変更できます。また、Pythonコードに直接記述する代わりに、外部ファイルとして使用することもできます。

1snyk_monitor_custom_policies_str = """package snyk
2orgs := ["%s"]
3default workload_events = false
4workload_events {
5input.metadata.namespace == "apples"
6    input.kind != "CronJob"
7    input.kind != "Service"
8}""" % (SNYK_ORG_ID)

以下は、Helmチャートを使ってSnykコントローラーをインストールするPythonコードです。Helmチャートを取得するリポジトリを指定し、Snyk組織IDと先ほどのカスタムポリシーファイルを指定している点に注目してください。これらはすべて、GKEクラスターにSnykコントローラーをインストールし、Snykと連携するために必要です。

1# Deploy the snyk controller using it's helm chart
2snyk_monitor_chart = Chart(
  "snyk-monitor",
  ChartOpts(
      chart="snyk-monitor",
      version="1.79.0",
      namespace="snyk-monitor",
      fetch_opts=FetchOpts(
          repo="https://snyk.github.io/kubernetes-monitor",
      ),
      values={
        "clusterName": "K8s-integration-demo-cluster",
        "policyOrgs": "{%s}" % (SNYK_ORG_ID),
        "workloadPoliciesMap": "snyk-monitor-custom-policies"
      }
  ),
  opts=ResourceOptions(provider=k8s_provider)
18)

Pythonコードでは、apples名前空間にSpring Bootのサンプルアプリケーションもデプロイしています。このアプリケーションは、SnykコントローラーによってSnykアプリに自動インポートされました。デプロイに使用したPythonコードは次のとおりです。

1# deploy spring boot employee app
2
3"""springboot employee api container, replicated 1 time."""
4app_name = "springboot-employee-api"
5app_labels = { "app": app_name }
6
7springboot_employee_api = k8s.apps.v1.Deployment(
          app_name,
          metadata={
            "namespace": "apples",
          },
          spec=k8s.apps.v1.DeploymentSpecArgs(
              replicas=1,
              selector=k8s.meta.v1.LabelSelectorArgs(match_labels=app_labels),
              template=k8s.core.v1.PodTemplateSpecArgs(
                  metadata=k8s.meta.v1.ObjectMetaArgs(labels=app_labels),
                  spec=k8s.core.v1.PodSpecArgs(
                      containers=[
                          k8s.core.v1.ContainerArgs(
                              name=app_name,
                              image="pasapples/springbootemployee:cnb",
                              ports=[k8s.core.v1.ContainerPortArgs(
                                container_port=8080
                              )]
                          )
                      ]
                  ),
              ),
          ),
          opts=ResourceOptions(provider=k8s_provider)
31)

ステップ7：Kubernetes構成を取得する

ここで取得した構成は、~/.kube/configファイルに使用するか、ローカルに保存してKUBECONFIG環境変数に設定できます。もちろん、普段使っているGoogle Cloudのコマンドもすべて使用できます。

たとえば、次のようにします。

1$ pulumi stack output kubeconfig --show-secrets > kubeconfig.yaml
2$ KUBECONFIG=./kubeconfig.yaml kubectl get po -n apples
3NAME                                                READY   STATUS    RESTARTS   AGE
4springboot-employee-api-fyrj9hr2-66d8456f5f-hqqhx   1/1     Running   0          17m

いくつかのkubectlコマンドを使って、snyk-monitor名前空間にインストールされたSnykコントローラーと、Pulumiで管理されるようになったConfigMapおよびSecretを表示しています。

1$ kubectl get all -n snyk-monitor
2NAME                              READY   STATUS    RESTARTS   AGE
3pod/snyk-monitor-db67744d-szl79   1/1     Running   0          8m52s
4
5NAME                           READY   UP-TO-DATE   AVAILABLE   AGE
6deployment.apps/snyk-monitor   1/1     1            1           8m53s
7
8NAME                                    DESIRED   CURRENT   READY   AGE
9replicaset.apps/snyk-monitor-db67744d   1         1         1       8m53s
10
11$ kubectl get secret -n snyk-monitor -l app.kubernetes.io/managed-by=pulumi
12NAME           TYPE     DATA   AGE
13snyk-monitor   Opaque   2      42m
14
15$ kubectl get configmap -n snyk-monitor -l app.kubernetes.io/managed-by=pulumi
16NAME                           DATA   AGE
17snyk-monitor-custom-policies   1      42m

ステップ8：セットアップ全体を破棄する

作業が完了したら、すべてのリソースとスタックを破棄できます。

1$ pulumi destroy
2$ pulumi stack rm

まとめると、Pulumiを使ってSnyk Kubernetesインテグレーションをインストール、設定する方法を学びました。このインテグレーションを使うと、稼働中のワークロードをインポートしてテストし、関連するイメージや構成に含まれる脆弱性を特定できます。こうした脆弱性は、ワークロードのセキュリティを損なうおそれがあります。

その他のリソース

Pulumiを使い、PythonからSnyk Kubernetesインテグレーションを簡単に設定する方法を学びました。コンテナセキュリティへの取り組みを始める際に役立つリンクをご紹介します。

ソースコードの段階からインフラを保護

Snykはワークフロー内のIaCセキュリティとコンプライアンスを自動化し、構成ドリフトや不足しているリソースを検出します。

ライブデモを予約無料で始める