TerraGoat - بنية تحتية لـ Terraform قابلة للثغرات

TerraGoat هو مستودع Terraform "قابل للثغرات حسب التصميم" من Bridgecrew.

TerraGoat هو مستودع Terraform "قابل للثغرات حسب التصميم" من Bridgecrew. TerraGoat هو مشروع تعليمي وتدريبي يوضح كيف يمكن لأخطاء التهيئة الشائعة أن تجد طريقها إلى بيئات الإنتاج السحابية.

مقدمة

تم بناء TerraGoat لتمكين فرق DevSecOps من تصميم وتنفيذ استراتيجية مستدامة لمنع سوء التهيئة. يمكن استخدامه لاختبار إطار عمل السياسة كرمز مثل Bridgecrew و Checkov، وأدوات الفحص المضمنة، وربطات ما قبل الالتزام، أو طرق فحص الكود الأخرى.

يتبع TerraGoat تقليد مشاريع *Goat الحالية التي توفر أرضية تدريب أساسية لممارسة تطبيق أفضل الممارسات الأمنية للبنية التحتية السحابية.

ملاحظات مهمة

أين تحصل على المساعدة: مجتمع Bridgecrew على Slack

قبل المتابعة، يرجى ملاحظة هذا التحذير:

⚠️ يقوم TerraGoat بإنشاء موارد AWS قابلة للثغرات عن قصد في حسابك. لا تقم بنشر TerraGoat في بيئة إنتاج أو بجانب أي موارد AWS حساسة.

المتطلبات

Terraform 0.12
aws cli
azure cli

لمنع وصول البنية التحتية القابلة للثغرات إلى الإنتاج، راجع: Bridgecrew و checkov، أداة التحليل الثابت مفتوحة المصدر للبنية التحتية كرمز.

بدء الاستخدام

إعداد AWS

التثبيت (AWS)

يمكنك نشر عدة مجموعات TerraGoat في حساب AWS واحد باستخدام المعامل TF_VAR_environment.

إنشاء خلفية دلو S3 للاحتفاظ بحالة Terraform```bash

export TERRAGOAT_STATE_BUCKET="mydevsecops-bucket" export TF_VAR_company_name=acme export TF_VAR_environment=mydevsecops export TF_VAR_region="us-west-2"

aws s3api create-bucket --bucket $TERRAGOAT_STATE_BUCKET
--region $TF_VAR_region --create-bucket-configuration LocationConstraint=$TF_VAR_region

Enable versioning

aws s3api put-bucket-versioning --bucket $TERRAGOAT_STATE_BUCKET --versioning-configuration Status=Enabled

Enable encryption

aws s3api put-bucket-encryption --bucket $TERRAGOAT_STATE_BUCKET --server-side-encryption-configuration '{ "Rules": [ { "ApplyServerSideEncryptionByDefault": { "SSEAlgorithm": "aws:kms" } } ] }'

#### تطبيق TerraGoat (AWS)```bash
cd terraform/aws/
terraform init \
-backend-config="bucket=$TERRAGOAT_STATE_BUCKET" \
-backend-config="key=$TF_VAR_company_name-$TF_VAR_environment.tfstate" \
-backend-config="region=$TF_VAR_region"

terraform apply

إزالة TerraGoat (AWS)```bash

terraform destroy

#### إنشاء عدة مجموعات TerraGoat AWS```bash
cd terraform/aws/
export TERRAGOAT_ENV=$TF_VAR_environment
export TERRAGOAT_STACKS_NUM=5
for i in $(seq 1 $TERRAGOAT_STACKS_NUM)
do
    export TF_VAR_environment=$TERRAGOAT_ENV$i
    terraform init \
    -backend-config="bucket=$TERRAGOAT_STATE_BUCKET" \
    -backend-config="key=$TF_VAR_company_name-$TF_VAR_environment.tfstate" \
    -backend-config="region=$TF_VAR_region"

    terraform apply -auto-approve
done

حذف مجموعات TerraGoat متعددة (AWS)```bash

cd terraform/aws/ export TF_VAR_environment = $TERRAGOAT_ENV for i in $(seq 1 $TERRAGOAT_STACKS_NUM) do export TF_VAR_environment=$TERRAGOAT_ENV$i terraform init
-backend-config="bucket=$TERRAGOAT_STATE_BUCKET"
-backend-config="key=$TF_VAR_company_name-$TF_VAR_environment.tfstate"
-backend-config="region=$TF_VAR_region"

terraform destroy -auto-approve

done

### إعداد Azure

#### التثبيت (Azure)

يمكنك نشر مجموعات متعددة من TerraGoat في اشتراك Azure واحد باستخدام المعامل `TF_VAR_environment`.

#### إنشاء حساب تخزين Azure (Storage Account) خلفي للاحتفاظ بحالة Terraform```bash
export TERRAGOAT_RESOURCE_GROUP="TerraGoatRG"
export TERRAGOAT_STATE_STORAGE_ACCOUNT="mydevsecopssa"
export TERRAGOAT_STATE_CONTAINER="mydevsecops"
export TF_VAR_environment="dev"
export TF_VAR_region="westus"

# Create resource group
az group create --location $TF_VAR_region --name $TERRAGOAT_RESOURCE_GROUP

# Create storage account
az storage account create --name $TERRAGOAT_STATE_STORAGE_ACCOUNT --resource-group $TERRAGOAT_RESOURCE_GROUP --location $TF_VAR_region --sku Standard_LRS --kind StorageV2 --https-only true --encryption-services blob

# Get storage account key
ACCOUNT_KEY=$(az storage account keys list --resource-group $TERRAGOAT_RESOURCE_GROUP --account-name $TERRAGOAT_STATE_STORAGE_ACCOUNT --query [0].value -o tsv)

# Create blob container
az storage container create --name $TERRAGOAT_STATE_CONTAINER --account-name $TERRAGOAT_STATE_STORAGE_ACCOUNT --account-key $ACCOUNT_KEY

تطبيق TerraGoat (Azure)```bash

cd terraform/azure/ terraform init -reconfigure -backend-config="resource_group_name=$TERRAGOAT_RESOURCE_GROUP"
-backend-config "storage_account_name=$TERRAGOAT_STATE_STORAGE_ACCOUNT"
-backend-config="container_name=$TERRAGOAT_STATE_CONTAINER"
-backend-config "key=$TF_VAR_environment.terraform.tfstate"

terraform apply

#### إزالة TerraGoat (Azure)```bash
terraform destroy

إعداد GCP

التثبيت (GCP)

يمكنك نشر عدة مجموعات TerraGoat في مشروع GCP واحد باستخدام المعامل TF_VAR_environment.

إنشاء خلفية GCS للاحتفاظ بحالة Terraform

لاستخدام terraform، يلزم وجود حساب خدمة ومجموعة مطابقة من بيانات الاعتماد. إذا لم تكن موجودة، يجب إنشاؤها يدويًا للمشروع المعني. لإنشاء حساب الخدمة:

سجّل الدخول إلى مشروع GCP الخاص بك، وانتقل إلى IAM > Service Accounts.
انقر على CREATE SERVICE ACCOUNT.
أعطِ اسمًا لحساب الخدمة الخاص بك (على سبيل المثال - terragoat) وانقر على CREATE.
امنح حساب الخدمة دور Project > Editor وانقر على CONTINUE.
انقر على DONE.

لإنشاء بيانات الاعتماد:

سجّل الدخول إلى مشروع GCP الخاص بك، وانتقل إلى IAM > Service Accounts وانقر على حساب الخدمة المعني.
انقر على ADD KEY > Create new key > JSON وانقر على CREATE. سيؤدي ذلك إلى إنشاء ملف .json وتنزيله على جهاز الكمبيوتر الخاص بك.

نوصي بحفظ المفتاح باسم أجمل من الاسم الذي تم إنشاؤه تلقائيًا (أي terragoat_credentials.json)، وتخزين ملف JSON الناتج داخل دليل terraform/gcp الخاص بـ terragoat. بمجرد إعداد بيانات الاعتماد، قم بإنشاء تكوين BE على النحو التالي:```bash export TF_VAR_environment="dev" export TF_TERRAGOAT_STATE_BUCKET=remote-state-bucket-terragoat export TF_VAR_credentials_path=<PATH_TO_CREDNETIALS_FILE> # example: export TF_VAR_credentials_path=terragoat_credentials.json export TF_VAR_project=<YOUR_PROJECT_NAME_HERE>

Create storage bucket

gsutil mb gs://${TF_TERRAGOAT_STATE_BUCKET}

#### تطبيق TerraGoat (GCP)```bash
cd terraform/gcp/
terraform init -reconfigure -backend-config="bucket=$TF_TERRAGOAT_STATE_BUCKET" \
    -backend-config "credentials=$TF_VAR_credentials_path" \
    -backend-config "prefix=terragoat/${TF_VAR_environment}"

terraform apply

إزالة TerraGoat (GCP)```bash