日々の開発フローにプラスする GitHub Actions ～ セキュリティ対策を取り込む
0 likes81 views
Go fast and robust with GitHub 第一弾でお話したセッション資料です。 https://micug.jp/event/gofastandrobustwithgithub/
日々の開発フローにプラスする GitHub Actions ～ セキュリティ対策を取り込む
- 1. 日々の開発フローにプラスする GitHub Actions ～ セキュリティ対策を取り込む Go fast and robust with GitHub 第一弾
- 2. 岩永かづみ / Kazumi IWANAGA • Microsoft MVP for Azure • ZEN Architects 所属 • GitHub公認トレーナー • 得意な領域 • Infrastructure as Code • GitHub Actions による自動化 • 技術コミュニティ • Code Polaris / Hack Everything. • @dz_ • @dzeyelid • @dzeyelid
- 3. 業務における開発フロー
- 5. 開発フロー 実装 プルリクエスト作成 レビュー マージ 人によるレビュー
- 7. 開発フロー 実装 プルリクエスト作成 レビュー マージ 人によるレビュー
- 8. 開発フローに機械的なチェックをプラス 実装 プルリクエスト作成 レビュー マージ 人によるレビュー 機械によるレビュー
- 9. 開発フローに機械的なチェックをプラス 実装 プルリクエスト作成 レビュー マージ 人によるレビュー 機械によるレビュー CI/CD
- 10. 開発フローに機械的なチェックをプラス 実装 プルリクエスト作成 レビュー マージ 人によるレビュー 機械によるレビュー CI/CD GitHub Actions
- 11. GitHub Actions で CI/CD を構成する
- 12. GitHub Actions • 自動化のためのワークフローを作成できる • プルリクエスト作成・編集時をはじめ、様々な契機で発動できる • 自作、またはオープンソースで公開される"アクション"を利用できる • Marketplace の他、各々のリポジトリを参照可能 • GitHub-hosted または Self-hosted ランナーを利用できる • GitHub-hosted ランナー • Ubuntu, Windows, MacOS • 最近は、より大きいコア数を搭載したランナーも登場
- 13. GitHub Actions
- 14. GitHub Actions のいいところ • GitHub の各機能との連携がシームレス • とくにプルリクエストと密に連携でき、既存の開発フローに取り込める • 無料利用枠が多い • 後述のセキュリティ対策と相性が良い • GitHub Actions Importerで他のプラットフォームから移行も対応 • 参考: Automating migration with GitHub Actions Importer - GitHub Docs
- 16. 開発フロー 実装 プルリクエスト作成 レビュー マージ 人によるレビュー 機械によるレビュー CI/CD GitHub Actions
- 17. 開発フローにセキュリティ対策をプラス 実装 プルリクエスト作成 レビュー マージ 人によるレビュー 機械によるレビュー CI/CD GitHub Actions セキュリティ対策
- 19. GitHub でできるセキュリティ対策 "Dependabot" と Dependency review Secret scanning Code scanning
- 20. "Dependabot" • リポジトリ（デフォルトブランチ）に含まれるパッケージの依存関係を 解析し、脆弱性の検出や修正の提案を行ってくれる機能群 • 脆弱性の情報は GitHub Advisory Database を参照する（更新 も追随） 機能 説明 Dependabot alerts 依存関係にあるパッケージに脆弱性が検出された場合にア ラートを通知する Dependabot security updates Dependabot alerts で検出された脆弱性に対して、コード の修正をプルリクエストとして提案してくれる Dependabot version updates 依存関係にあるパッケージのバージョンにアップデートがあ る場合に、更新をプルリクエストとして提案してくれる
- 23. Dependabot によるプルリクエストの様子 Dependabot security updates Dependabot version updates
- 26. Dependency review • 依存関係内の脆弱性を検出する機能が、GitHub Actions のアク ション actions/dependency-review-action として提供されてい る • Dependency Review · Actions · GitHub Marketplace 機能 説明 Dependabot alerts （前述） Dependabot alerts は、リポジトリのデフォルトブランチに対する依存関 係が対象なので、マージしないと検出できない Dependency review GitHub Actions で利用できるので、プルリクエストなどの時点でも依存 関係のチェックを行える
- 28. Secret scanning • GitHubリポジトリ上の全てのブランチと履歴に対しスキャンを行い、 シークレットの混入を検出してくれる機能 シークレットの種類 説明 パートナープロバイダのパターン パートナープロバイダが発行しているトークンやキーなどのシーク レットパターン（現在、６６プロバイダ） 参考: Supported secrets for partner patterns - GitHub Docs カスタムパターン 独自のパターンを定義できる（GitHub Advanced Security が必要（後述）） 参考: Defining custom patterns for secret scanning - GitHub Enterprise Cloud Docs
- 29. Code scanning • GitHubリポジトリ上のコードに対する脆弱性を検出・管理できる機能 • GitHub が提供する CodeQL を用いて解析 • GitHub Actions を利用して容易に導入できる • 各種言語に応じた汎用的なクエリが用意されている、カスタマイズも可能 • 参考: About code scanning with CodeQL - GitHub Docs • サードパーティ製の静的解析ツールであっても、SARIF形式のレポー トで出力できれば、統合して利用できる
- 31. Code scanning のレポート 参考: About code scanning alerts - GitHub Docs
- 33. GitHub セキュリティ関連機能の対応 機能 Public リポ Private リポ（GHASなし） Private リポ（GHASあり） Dependabot alerts 〇 〇 〇 Dependabot security updates 〇 〇 〇 Dependabot version updates 〇 〇 〇 Dependency review 〇 × 〇 Secret scanning 〇 × 〇 ＋ カスタマイズ Code scanning 〇 × 〇
- 34. GitHub セキュリティ関連機能の対応 機能 Public リポ Private リポ（GHASなし） Private リポ（GHASあり） Dependabot alerts 〇 〇 〇 Dependabot security updates 〇 〇 〇 Dependabot version updates 〇 〇 〇 Dependency review 〇 × 〇 Secret scanning 〇 × 〇 ＋ カスタマイズ Code scanning 〇 × 〇 GitHub Advanced Security のライセンスを導入すれば、 Private リポジトリでも利用可能
- 35. GitHub Advanced Security • GitHub Enterprise Cloud または Server に対して付与できるセ キュリティライセンス • Privateリポジトリに対しても、下記を利用できる • Dependency review • Secret scanning （パートナーパターンに加え、カスタマイズにも対応） • Code scanning
- 36. 開発フローにプラスしていく