ゴールデンイメージで Device Protection を展開する

Packer やその他のイメージパイプラインで独自の Linux イメージを構築している場合は、ビルド中に Device Protection をインストールしてください。そうすることで、そのイメージから作成されるすべてのマシンが初回起動時から保護され、実行時にインストール手順を行う必要がなくなります。

まず Install Device Protection for Linux を読み、すべての方法で使用するトークン、パッケージ、インストールオプションについて確認してください。トークンの取り扱い、再起動、繰り返し実行、デバイスの識別といったその他の内容は Linux Rollout Reference で説明しています。

ビルド中にインストールする

variable "aikido_token" {
  type      = string
  sensitive = true
}

build {
  sources = ["source.amazon-ebs.workstation"]

  provisioner "shell" {
    environment_vars = [
      "AIKIDO_TOKEN=${var.aikido_token}",
    ]
    inline = [
      "curl -fsSLo /tmp/aikido.deb https://github.com/AikidoSec/safechain-internals/releases/latest/download/EndpointProtection-amd64.deb",
      "sudo AIKIDO_TOKEN=\"$AIKIDO_TOKEN\" apt-get install -y /tmp/aikido.deb",
      "rm -f /tmp/aikido.deb",
      "systemctl is-enabled aikido-endpoint-protection",
      "sudo truncate -s 0 /etc/machine-id",
    ]
  }
}

初回起動まで先送りする必要のある処理はありません。パッケージはビルド中にデバイスを登録します。このビルドで知っておくべき点が 3 つあります。

• トークンは .pkrvars.hcl ファイルではなく、シークレットストアから渡してください。例: PKR_VAR_aikido_token=$(...) packer build .。変数を sensitive としてマークすると、Packer の出力に表示されなくなります。ログと state にトークンを残さないを参照してください。
• systemctl is-enabled は、サービスが有効化されなかった場合にビルドを失敗させます。これはまさに必要なチェックです。壊れたイメージを後から見つけるほうがはるかにコストがかかります。
• truncate -s 0 /etc/machine-id は最後に実行するため、各マシンの初回起動時に systemd が新しい ID を書き込みます。これは省略できません。マシン ID を共有するマシンは、デバイスリスト上で 1 つのエントリを共有してしまいます。デバイスの識別方法を参照してください。

1 つのイメージに 1 つのユーザーグループ

トークンによってデバイスが参加する Aikido のユーザーグループが決まるため、ベイクされたイメージは 1 つのユーザーグループに属します。1 つのイメージで複数のグループに対応する必要がある場合は、トークンをイメージに含めず、パッケージファイルのみを配置してください。

provisioner "shell" {
  inline = [
    "sudo mkdir -p /var/cache/aikido",
    "sudo curl -fsSLo /var/cache/aikido/EndpointProtection-amd64.deb https://github.com/AikidoSec/safechain-internals/releases/latest/download/EndpointProtection-amd64.deb",
  ]
}

その後、初回起動時に、そのマシンが属するグループのトークンを使用して、配置済みのファイルからインストールします。

#cloud-config
runcmd:
  - AIKIDO_TOKEN=<your-token> apt-get install -y /var/cache/aikido/EndpointProtection-amd64.deb

これにより、初回起動時に GitHub へのネットワークアクセスが不要になります。その document の残りの部分については cloud-init を参照してください。

ロールアウトの確認

完成したイメージから 1 台のマシンを起動し、次を確認します。

cat /etc/machine-id
systemctl is-active aikido-endpoint-protection
aikidoctl version

同じイメージから 2 台目のマシンを起動し、2 つのマシン ID が異なること、および両方が Active ステータスでデバイスリストに表示されることを確認してください。

イメージにはビルド時点の最新バージョンが固定されます。そのため、通常のイメージ更新サイクルで再ビルドし、古いイメージから既に稼働しているマシンは新しいパッケージを上書きインストールしてアップグレードしてください。

トラブルシューティング