Terraform で Device Protection を展開する

Terraform はマシンを作成するツールであり、既存のマシン上でソフトウェアの状態を収束させ続けるものではありません。そのため、ここでの Terraform の役割は、作成するすべての Linux インスタンスが Device Protection をインストール済みの状態で起動するようにすることです。

まず Install Device Protection for Linux を読み、すべての方法で共通して使用するトークン、パッケージ、インストールオプションを確認してください。トークンの取り扱い、再起動、繰り返し実行、デバイス ID などその他の事項は Linux Rollout Reference で説明しています。

新しいインスタンスにインストールする

cloud-init ドキュメントを user_data として渡します。ドキュメントを独立したファイルにしておくと、読みやすさが保たれ、Terraform 以外でも再利用できます。ドキュメント自体とそのオプションについては cloud-init を参照してください。

variable "aikido_token" {
  type      = string
  sensitive = true
}

resource "aws_instance" "workstation" {
  ami           = var.workstation_ami
  instance_type = "m7i.large"

  user_data = templatefile("${path.module}/aikido-user-data.yaml.tftpl", {
    package      = "EndpointProtection-amd64.deb"
    aikido_token = var.aikido_token
  })

  tags = {
    Name = "workstation"
  }
}

#cloud-config
runcmd:
  - curl -fsSLo /tmp/${package} https://github.com/AikidoSec/safechain-internals/releases/latest/download/${package}
  - AIKIDO_TOKEN=${aikido_token} apt-get install -y /tmp/${package}
  - rm -f /tmp/${package}

トークンを state とメタデータに残さない

Terraform が user_data にレンダリングした内容はすべて state に保存されます。また、user_data はマシン上で実行されているあらゆるプロセスからインスタンスメタデータサービス経由で読み取れます。トークンの代わりにシークレットの名前を渡し、ブートスクリプトに値を取得させてください。

  user_data = templatefile("${path.module}/aikido-user-data.yaml.tftpl", {
    package         = "EndpointProtection-amd64.deb"
    token_parameter = "/aikido/device-protection-token"
  })

インスタンスプロファイルにそのパラメータへの読み取り権限を付与し、aikido-user-data.yaml.tftpl で boot-time lookup を使用します。その際、ハードコードされたパラメータ名とパッケージファイルの代わりに ${token_parameter} と ${package} を使います。これにより aikido_token 変数は完全に不要になり、機密情報が Terraform の state に入ることはなくなります。

Terraform で管理済みのインスタンスにインストールする

作成時に一度だけプッシュする場合は、remote-exec プロビジョナーを使用します。

resource "aws_instance" "workstation" {
  # ...

  connection {
    type        = "ssh"
    host        = self.public_ip
    user        = "ubuntu"
    private_key = file(var.ssh_private_key)
  }

  provisioner "remote-exec" {
    inline = [
      "curl -fsSLo /tmp/EndpointProtection-amd64.deb https://github.com/AikidoSec/safechain-internals/releases/latest/download/EndpointProtection-amd64.deb",
      "sudo AIKIDO_TOKEN=${var.aikido_token} apt-get install -y /tmp/EndpointProtection-amd64.deb",
      "rm -f /tmp/EndpointProtection-amd64.deb",
    ]
  }
}

プロビジョナーには実際的な制約があり、そのため HashiCorp はこれを最後の手段と位置づけています。

• 作成時に一度だけ実行されます。二度と実行されないため、ドリフトが修正されることはありません。
• プロビジョナーが失敗するとリソースは tainted としてマークされ、次回の apply でインスタンスが破棄・再作成されます。
• Terraform を実行する場所(CI を含む)から SSH で到達可能である必要があります。

ロールアウトを確認する

新しいインスタンス上で次を実行します。

cloud-init status --wait
systemctl is-active aikido-endpoint-protection
aikidoctl version

その後、デバイスが デバイス一覧 に Active ステータスで表示されます。

トラブルシューティング