Javaアプリケーション向けにGitHub ActionsでセキュアなCI/CDパイプラインを構築する

GitHub Actionsにより、GitHubプロジェクト向けのセキュアな継続的インテグレーション／継続的デリバリー（CI/CD）パイプラインを、これまで以上に簡単に構築できるようになりました。CI/CDパイプラインとGitHubリポジトリを統合することで、GitHub Actionsを使ってビルド、テスト、デプロイのパイプラインを自動化できます。リポジトリへのプルリクエストごとにビルドとテストを実行するワークフローや、マージ済みのプルリクエストを本番環境にデプロイするワークフローを作成できます。さらに、SnykをGitHub CI/CDに統合すれば、本番環境にリリースする前のビルド工程でセキュリティスキャンを自動化できます。

Java向けGitHub Actions CIパイプラインを設定する

GitHub Actionsのワークフローは、.github/workflowsフォルダに保存されるYAMLファイルです。ワークフローがまだない場合や、新しく追加する場合は、Actions、New workflowの順に選択します。

このJava Spring Bootプロジェクトでは、次のようにMavenを使ってCIパイプラインを作成しました。

1name: Java CI with Maven
2
3on:
4 push:
5   branches: [ master ]
6 pull_request:
7   branches: [ master ]
8 workflow_dispatch:
9
10jobs:
11 build:
12
13   runs-on: ubuntu-latest
14
15   steps:
16   - uses: actions/checkout@v2
17   - name: Set up JDK 17
18     uses: actions/setup-java@v1
19     with:
20       java-version: 17
21   - name: Build with Maven
22     run: mvn -B package --file pom.xml

このアクションは、masterブランチへのプッシュまたはプルリクエストのたびに実行されます。Ubuntuをベースにリポジトリをチェックアウトし、Java 17とMavenを使用するGitHub Actionのsetup-javaで、Javaのjarファイルをビルドします。構文に慣れていれば、このワークフローは比較的シンプルです。さまざまな活用方法について詳しくは、GitHub Actionsのドキュメントをご覧ください。

GitHub CI/CDにSnykを統合する

Snykを使うと、新しいJavaプロジェクトにセキュリティテストを統合できます。主な方法は2つありますが、まずは次の2点を準備しましょう。Snykアカウントにログインします。まだアカウントをお持ちでない場合は、無料で作成してください。次に、APIキーをGitHubリポジトリのシークレットSNYK_TOKENとして設定します。

方法1：GitHub ActionのビルドステップにSnyk CLIを統合する

Snyk CLIを使うと、現在のビルド内でセキュリティスキャンを自動実行できます。以下の手順に従い、Build with Mavenの後にいくつかのステップを追加して、設定を始めましょう。

1 - name: Set up Node 14
2   uses: actions/setup-node@v3
3   with:
4     node-version: 14
5 - name: install Snyk CLI
6   run: npm install -g snyk
7 - name: run Snyk Open Source Test
8   run: snyk test
9 - name: run Snyk Code Test
10   run: snyk code test

NodeJSバージョン14をセットアップし、npmでSnyk CLIをダウンロードします。次に、Snyk Open Sourceで依存関係を分析し、Snyk Codeで独自のコードに脆弱性がないかスキャンします。

次に、APIキーを含む環境変数としてSNYK_TOKENを宣言します。先ほど設定したシークレットSNYK_TOKENを参照するか、GitHub Actionのコード例をそのまま再利用できます。

1env:
2 SNYK_TOKEN: ${{ secrets.SNYK_TOKEN }}

この方法の利点は、アプリケーションのコンパイルとビルドが一度で済むことです。大規模なアプリケーションをビルドする際に、多くの時間を節約できます。一方、各ステップは順番に実行されるため、後半のステップで失敗すると効率が悪くなる場合があります。

方法2：Snykの定義済みGitHub Actionsを使ってCI/CDパイプラインを作成する

Snykは、プロジェクトの脆弱性をチェックするGitHub Actionsを一式提供しています。必要なアクションは、プログラミング言語やビルドツールによって異なります。ここでは、Javaプロジェクト向けに、以下のMavenベースのGitHub Actionを使います。

定義済みのアクションを使えば、アプリケーションのビルドに必要な前提条件が整い、コードのスキャンには最新のCLIバージョンが使われます。アプリケーションを何度か再ビルドすることになるものの、各アクションを個別に並行実行できる点は、この方法の大きなメリットです。

まず、依存関係をスキャンしましょう。Snykアカウントはすでに作成済みで、APIキーはSNYK_TOKENという名前のシークレットとして保存されています。そこで、ビルドジョブにステップを追加する代わりに、opensource-securityという新しいジョブを作成します。

1opensource-security:
2   runs-on: ubuntu-latest
3   steps:
4     - uses: actions/checkout@master
5     - name: Run Snyk to check for vulnerabilities
6       uses: snyk/actions/maven@master
7       env:
8         SNYK_TOKEN: ${{ secrets.SNYK_TOKEN }}

ドキュメントによると、デフォルトのコマンドはtestです。追加の設定をしなくても、依存関係に既知の脆弱性がないかアプリケーションをスキャンします。ネストされたプロジェクトに対応するために--all-projectsのような特定のCLI引数を設定する場合は、withキーワードを使い、プロパティにargsを指定します。

Snykで依存関係をスキャンしている間に、GitHub ActionでJavaコードの脆弱性もチェックしましょう。前の手順を繰り返して、そのための3つ目のジョブを設定し、commandプロパティにcode testを指定します。

1 code-security:
2   runs-on: ubuntu-latest
3   steps:
4     - uses: actions/checkout@master
5     - name: Run Snyk to check for vulnerabilities
6       uses: snyk/actions/maven@master
7       env:
8         SNYK_TOKEN: ${{ secrets.SNYK_TOKEN }}
9       with:
10         command: code test

3つのジョブはすべて並行して実行されます。多くの場合、こちらのほうが効率的です。

GitHub CI/CDにセキュアな継続的デリバリーを追加する

次に、GitHub CI/CDのデプロイ、つまりデリバリーの部分を見ていきましょう。ビルドとテストが完了したら、パッケージをGitHubに公開します。ここでは、JavaプロジェクトでMaven Release Pluginを使います。

ビルドジョブと2つのセキュリティジョブがすべて正常に完了した場合にのみパッケージをリリースしたいため、リリースに必要なジョブの一覧をneedsプロパティに追加します。これにより、パッケージが完全にビルドされ、安全性が確認される前にデプロイされることを防げます。

1release:
2   needs: [opensource-security, code-security, build]
3   runs-on: ubuntu-latest
4   steps:
5     - uses: actions/checkout@v2
6     - name: Set up JDK 17
7       uses: actions/setup-java@v1
8       with:
9         java-version: 17
10     - name: Set Git user
11       run: |
12         git config user.email "ghactions@brianvermeer.nl"
13         git config user.name "GitHub Actions"
14     - name: Publish JAR
15       run: mvn -B release:prepare release:perform -DskipTests
16       env:
17         GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}

Mavenのコマンドrelease:prepareとrelease:performは、リリースのバージョン番号が正しいことを確認し、実際にGitHubリポジトリへ公開します。Mavenで処理するため、pom.xmlファイルを次のように設定します。

1  <scm>
2       <developerConnection>scm:git:https://github.com/bmvermeer/ghaction-example.git</developerConnection>
3       <tag>HEAD</tag>
4   </scm>
5   <distributionManagement>
6       <repository>
7           <id>github</id>
8           <name>GitHub</name>
9           <url>https://maven.pkg.github.com/bmvermeer/ghaction-example</url>
10       </repository>
11   </distributionManagement>

リリースしたばかりのアプリケーションに脆弱性がなくても、その状態がずっと続くとは限りません。さまざまな場所で新たな脆弱性が見つかる可能性があるため、アプリケーションのデプロイ後もコードと依存関係を継続的に監視することが重要です。

開発中のスキャンに加えて、Snykを使ってデプロイ後も依存関係を監視できます。リリースが完了したら、Snykの定義済みアクションを再び使い、今度はcommandプロパティにmonitorを指定します。

1 opensource-monitor:
2   needs: [release]
3   runs-on: ubuntu-latest
4   steps:
5     - uses: actions/checkout@master
6     - name: Run Snyk to check for vulnerabilities
7       uses: snyk/actions/maven@master
8       env:
9         SNYK_TOKEN: ${{ secrets.SNYK_TOKEN }}
10       with:
11         command: monitor

これにより、リリース後は変化しない依存関係ツリーがSnykに送信され、監視されます。SnykのUIでプロジェクトを確認できるようになり、使用中の依存関係に新たな脆弱性が見つかった場合は自動通知を受け取れます。公開したJavaプロジェクトに脆弱性がない状態を維持できます。

GitHub Actionsにセキュリティを統合する

GitHub Actionsを使えば、GitHubプロジェクトのCI/CDパイプラインを簡単に作成できます。さらにSnykのアクションを使うことで、あらゆるアプリケーションに複数のレベルでセキュリティスキャンを簡単に統合できます。

本日作成したパイプラインを、GitHubでは次の図のように可視化できます。ジョブによっては並行して実行され、ほかのジョブの正常完了を待つものもあります。プロジェクト全体の例は、こちらのGitHubリポジトリでご確認ください。

今回はSnyk CodeとSnyk Open Sourceを使って、Javaのソースコードとパイプラインの依存関係をスキャンしました。さらに、Snyk ContainerでDockerファイルを、Snyk IaCでKubernetesファイルをスキャンすることもできます。

Snyk GitHub Actionsを使えば、GitHub Actionsのワークフローにスキャンを自動的に追加できます。プロジェクトに最適なアクションを組み合わせて、コードを今も将来も安全に保ちましょう。