翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Amazon Inspector Jenkins プラグインを使用する

この Jenkins プラグインは、Amazon Inspector SBOM Generator バイナリと Amazon Inspector スキャン API を活用して、ビルドの最後に詳細なレポートを作成します。これにより、デプロイ前にリスクを調査して修正できます。Amazon Inspector Jenkins プラグインを使用すると、Amazon Inspector の脆弱性スキャンを Jenkins パイプラインに追加することができます。検出された脆弱性の数と重大度に基づいて、パイプラインの実行に成功または失敗するように Amazon Inspector 脆弱性スキャンを設定できます。Jenkins プラグインの最新バージョンは、Jenkins のマーケットプレイス (https://plugins.jenkins.io/amazon-inspector-image-scanner/) で確認できます。次の手順は、Amazon Inspector Jenkins プラグインを設定する方法を示しています。

ステップ 1. のセットアップ AWS アカウント

Amazon Inspector スキャン API へのアクセスを許可する IAM ロール AWS アカウント を使用して を設定します。手順については、「Amazon Inspector CI/CD 統合を使用するように AWS アカウントを設定する」を参照してください。

ステップ 2. Amazon Inspector Jenkins プラグインのインストール

次の手順は、Jenkins ダッシュボードから Amazon Inspector Jenkins プラグインをインストールする方法を示しています。

(オプション) ステップ 3. Jenkins への Docker 認証情報の追加

次の手順は、Jenkins ダッシュボードから Jenkins に Docker 認証情報を追加する方法を示しています。

(オプション) ステップ 4. AWS 認証情報を追加する

次の手順では、Jenkinsダッシュボードから AWS 認証情報を追加する方法について説明します。

ステップ 5. Jenkins スクリプトへの CSS サポートの追加

次の手順は、Jenkins スクリプトに CSS サポートを追加する方法を示しています。

ステップ 6。Amazon Inspector スキャンのビルドへの追加

Amazon Inspector スキャンをビルドに追加するには、プロジェクトにビルドステップを追加するか、Jenkins 宣言型パイプラインを使用します。

プロジェクトでのビルドステップの追加による Amazon Inspector スキャンのビルドへの追加

Jenkins 宣言型パイプラインを使用した Amazon Inspector スキャンのビルドへの追加

Jenkins 宣言型パイプラインを使用して、自動または手動で Amazon Inspector スキャンをビルドに追加できます。

pipeline {
    agent any    
    stages {        
        stage('amazon-inspector-image-scanner') {
            steps {
                script {
                step([
                $class: 'com.amazon.inspector.jenkins.amazoninspectorbuildstep.AmazonInspectorBuilder',
                archivePath: 'IMAGE_PATH', // Path to your container image or tar file
                awsRegion: 'REGION', // AWS region for scan requests
                iamRole: 'IAM ROLE', // IAM role ARN for authentication
                credentialId: 'Id', // Docker credentials (empty if public repo)
                awsCredentialId: 'AWS ID', // AWS credential ID for authentication
                awsProfileName: 'Profile Name', // AWS profile name to use
                sbomgenSkipFiles: '*.log,node_modules,/tmp/*', // Files/directories to exclude from scanning

                // Vulnerability threshold settings (updated parameter names)
                isSeverityThresholdEnabled: false, // Enable/disable build failure on vulnerability count
                countCritical: 0, // Max critical vulnerabilities before build fails
                countHigh: 0, // Max high vulnerabilities before build fails
                countMedium: 5, // Max medium vulnerabilities before build fails
                countLow: 10, // Max low vulnerabilities before build fails

                // EPSS (Exploit Prediction Scoring System) settings
                isEpssThresholdEnabled: false, // Enable/disable EPSS-based failure threshold
                epssThreshold: 0.7, // EPSS score threshold (0.0 to 1.0)

                // NEW FEATURE: CVE Suppression - ignore specific false positives
                isSuppressedCveEnabled: false, // Enable CVE suppression feature
                suppressedCveList: '', // Comma-separated list of CVEs to ignore in thresholds

                // NEW FEATURE: Auto-Fail CVEs - always fail on critical security issues  
                isAutoFailCveEnabled: false, // Enable auto-fail CVE feature
                autoFailCveList: '' // Comma-separated list of CVEs that always fail build
                ])
            }
        }
    }
}

pipeline {
    agent any
    stages {
        stage('amazon-inspector-image-scanner') {
            steps {
                script {
                step([
                $class: 'com.amazon.inspector.jenkins.amazoninspectorbuildstep.AmazonInspectorBuilder',
                archivePath: 'IMAGE_PATH', // Path to your container image or tar file
                awsRegion: 'REGION', // AWS region for scan requests
                iamRole: 'IAM ROLE', // IAM role ARN for authentication
                credentialId: 'Id', // Docker credentials (empty if public repo)
                awsCredentialId: 'AWS ID', // AWS credential ID for authentication
                awsProfileName: 'Profile Name', // AWS profile name to use
                sbomgenSkipFiles: '*.log,node_modules,/tmp/*', // Files/directories to exclude from scanning

                // Vulnerability threshold settings (updated parameter names)
                isSeverityThresholdEnabled: false, // Enable/disable build failure on vulnerability count
                countCritical: 0, // Max critical vulnerabilities before build fails
                countHigh: 0, // Max high vulnerabilities before build fails
                countMedium: 5, // Max medium vulnerabilities before build fails
                countLow: 10, // Max low vulnerabilities before build fails

                // EPSS (Exploit Prediction Scoring System) settings
                isEpssThresholdEnabled: false, // Enable/disable EPSS-based failure threshold
                epssThreshold: 0.7, // EPSS score threshold (0.0 to 1.0)

                // NEW FEATURE: CVE Suppression - ignore specific false positives
                isSuppressedCveEnabled: false, // Enable CVE suppression feature
                suppressedCveList: '', // Comma-separated list of CVEs to ignore in thresholds

                // NEW FEATURE: Auto-Fail CVEs - always fail on critical security issues  
                isAutoFailCveEnabled: false, // Enable auto-fail CVE feature
                autoFailCveList: '' // Comma-separated list of CVEs that always fail build
                ])
            }
        }
    }
}

プラグインには、セキュリティの脆弱性を管理するための機能が含まれています。

抑制された CVE リスト

スキャンは、実際の脅威ではない脆弱性を検出することがあります。これらの誤検出がビルドを停止しないようにするには、それらを抑制リストに追加できます。

isSuppressedCveEnabled: true,
suppressedCveList: 'CVE-2023-1234,CVE-2023-5678'
           

これにより、ビルドが失敗するかどうかをチェックするときに、特定の CVEs は無視されます。誤検出は、対応した場合にのみ、抑制されたリストに追加する必要があります。これらの脆弱性を抑制リストに追加しても、CVEsセキュリティレポートに表示されますが、ビルドの失敗は発生しません。

Auto-Fail CVE リスト

重大なセキュリティの脆弱性については、ビルドが常に失敗する原因となるリストを作成できます。

isAutoFailCveEnabled: true,
autoFailCveList: 'CVE-2024-9999'
           

これにより、有効にした設定に関係なく、ビルドは常に失敗します。このリストは、デプロイすべきではない優先度の高いセキュリティ問題に対してのみ作成する必要があります。このリストは、セキュリティを最大化するために他のすべてのしきい値設定を上書きします。

ステップ 7。Amazon Inspector の脆弱性レポートの確認

トラブルシューティング

Jenkins 向け Amazon Inspector スキャンプラグインを使用する際に発生する可能性がある一般的なエラーを以下に示します。

認証情報の読み込み失敗または sts 例外エラー

エラー:

InstanceProfileCredentialsProvider(): Failed to load credentials or sts exception.

解決策

AWS アカウントの aws_access_key_idと aws_secret_access_key を取得します。~/.aws/credentials の aws_access_key_id とaws_secret_access_key をセットアップします。

ターボール、ローカル、またはリモートソースからイメージの読み込み失敗

エラー:

2024/10/16 02:25:17 [ImageDownloadFailed]: failed to load image from tarball, local, or remote sources.

解決策:

以下について確認してください。

Inspector-sbomgen パスエラー

エラー:

Exception:com.amazon.inspector.jenkins.amazoninspectorbuildstep.exception.SbomgenNotFoundException: There was an issue running inspector-sbomgen, is /opt/inspector/inspector-sbomgen the correct path?

解決策:

この問題を解決するには、次の手順を完了します。