TerraGoat – Verwundbare Terraform-Infrastruktur

TerraGoat ist Bridgecrews „Vulnerable by Design“ Terraform-Repository.

TerraGoat ist Bridgecrews „Vulnerable by Design“ Terraform-Repository. TerraGoat ist ein Lern- und Trainingsprojekt, das zeigt, wie häufige Konfigurationsfehler den Weg in Produktions-Cloud-Umgebungen finden können.

Einleitung

TerraGoat wurde entwickelt, um DevSecOps zu ermöglichen, eine nachhaltige Strategie zur Vermeidung von Fehlkonfigurationen zu entwerfen und umzusetzen. Es kann verwendet werden, um ein Policy-as-Code-Framework wie Bridgecrew & Checkov, Inline-Linter, Pre-Commit-Hooks oder andere Code-Scanning-Methoden zu testen.

TerraGoat folgt der Tradition bestehender *Goat-Projekte, die eine grundlegende Trainingsumgebung bieten, um die Umsetzung bewährter Praktiken für sichere Entwicklung in der Cloud-Infrastruktur zu üben.

Wichtige Hinweise

Wo Sie Hilfe bekommen: die Bridgecrew Community Slack

Bevor Sie fortfahren, beachten Sie bitte diese Warnung:

⚠️ TerraGoat erstellt absichtlich verwundbare AWS-Ressourcen in Ihrem Konto. Stellen Sie TerraGoat NICHT in einer Produktionsumgebung oder neben sensiblen AWS-Ressourcen bereit.

Voraussetzungen

Terraform 0.12
aws cli
azure cli

Um zu verhindern, dass verwundbare Infrastruktur in die Produktion gelangt, siehe: Bridgecrew & checkov, das Open-Source-Tool zur statischen Analyse für Infrastructure as Code.

Erste Schritte

AWS-Setup

Installation (AWS)

Sie können mehrere TerraGoat-Stacks in einem einzigen AWS-Konto bereitstellen, indem Sie den Parameter TF_VAR_environment verwenden.

Erstellen Sie einen S3-Bucket-Backend, um den Terraform-Status zu speichern```bash

export TERRAGOAT_STATE_BUCKET="mydevsecops-bucket" export TF_VAR_company_name=acme export TF_VAR_environment=mydevsecops export TF_VAR_region="us-west-2"

aws s3api create-bucket --bucket $TERRAGOAT_STATE_BUCKET
--region $TF_VAR_region --create-bucket-configuration LocationConstraint=$TF_VAR_region

Enable versioning

aws s3api put-bucket-versioning --bucket $TERRAGOAT_STATE_BUCKET --versioning-configuration Status=Enabled

Enable encryption

aws s3api put-bucket-encryption --bucket $TERRAGOAT_STATE_BUCKET --server-side-encryption-configuration '{ "Rules": [ { "ApplyServerSideEncryptionByDefault": { "SSEAlgorithm": "aws:kms" } } ] }'

#### TerraGoat (AWS) anwenden```bash
cd terraform/aws/
terraform init \
-backend-config="bucket=$TERRAGOAT_STATE_BUCKET" \
-backend-config="key=$TF_VAR_company_name-$TF_VAR_environment.tfstate" \
-backend-config="region=$TF_VAR_region"

terraform apply

Entfernen von TerraGoat (AWS)```bash

terraform destroy

#### Erstellen mehrerer TerraGoat AWS-Stacks```bash
cd terraform/aws/
export TERRAGOAT_ENV=$TF_VAR_environment
export TERRAGOAT_STACKS_NUM=5
for i in $(seq 1 $TERRAGOAT_STACKS_NUM)
do
    export TF_VAR_environment=$TERRAGOAT_ENV$i
    terraform init \
    -backend-config="bucket=$TERRAGOAT_STATE_BUCKET" \
    -backend-config="key=$TF_VAR_company_name-$TF_VAR_environment.tfstate" \
    -backend-config="region=$TF_VAR_region"

    terraform apply -auto-approve
done

Löschen mehrerer TerraGoat Stacks (AWS)```bash

cd terraform/aws/ export TF_VAR_environment = $TERRAGOAT_ENV for i in $(seq 1 $TERRAGOAT_STACKS_NUM) do export TF_VAR_environment=$TERRAGOAT_ENV$i terraform init
-backend-config="bucket=$TERRAGOAT_STATE_BUCKET"
-backend-config="key=$TF_VAR_company_name-$TF_VAR_environment.tfstate"
-backend-config="region=$TF_VAR_region"

terraform destroy -auto-approve

done

### Azure Einrichtung

#### Installation (Azure)

Sie können mehrere TerraGoat-Stacks in einem einzigen Azure-Abonnement mit dem Parameter `TF_VAR_environment` bereitstellen.

#### Erstellen Sie ein Azure Storage-Konto-Backend zur Aufbewahrung des Terraform-Status```bash
export TERRAGOAT_RESOURCE_GROUP="TerraGoatRG"
export TERRAGOAT_STATE_STORAGE_ACCOUNT="mydevsecopssa"
export TERRAGOAT_STATE_CONTAINER="mydevsecops"
export TF_VAR_environment="dev"
export TF_VAR_region="westus"

# Create resource group
az group create --location $TF_VAR_region --name $TERRAGOAT_RESOURCE_GROUP

# Create storage account
az storage account create --name $TERRAGOAT_STATE_STORAGE_ACCOUNT --resource-group $TERRAGOAT_RESOURCE_GROUP --location $TF_VAR_region --sku Standard_LRS --kind StorageV2 --https-only true --encryption-services blob

# Get storage account key
ACCOUNT_KEY=$(az storage account keys list --resource-group $TERRAGOAT_RESOURCE_GROUP --account-name $TERRAGOAT_STATE_STORAGE_ACCOUNT --query [0].value -o tsv)

# Create blob container
az storage container create --name $TERRAGOAT_STATE_CONTAINER --account-name $TERRAGOAT_STATE_STORAGE_ACCOUNT --account-key $ACCOUNT_KEY

TerraGoat (Azure) anwenden```bash

cd terraform/azure/ terraform init -reconfigure -backend-config="resource_group_name=$TERRAGOAT_RESOURCE_GROUP"
-backend-config "storage_account_name=$TERRAGOAT_STATE_STORAGE_ACCOUNT"
-backend-config="container_name=$TERRAGOAT_STATE_CONTAINER"
-backend-config "key=$TF_VAR_environment.terraform.tfstate"

terraform apply

#### TerraGoat (Azure) entfernen```bash
terraform destroy

GCP Setup

Installation (GCP)

Sie können mehrere TerraGoat-Stacks in einem einzigen GCP-Projekt bereitstellen, indem Sie den Parameter TF_VAR_environment verwenden.

Erstellen Sie ein GCS-Backend, um den Terraform-Status zu speichern

Um Terraform zu verwenden, sind ein Service Account und passende Anmeldeinformationen erforderlich. Falls diese nicht existieren, müssen sie manuell für das entsprechende Projekt erstellt werden. So erstellen Sie den Service Account:

Melden Sie sich in Ihrem GCP-Projekt an und gehen Sie zu IAM > Service Accounts.
Klicken Sie auf CREATE SERVICE ACCOUNT.
Geben Sie Ihrem Service Account einen Namen (z. B. terragoat) und klicken Sie auf CREATE.
Weisen Sie dem Service Account die Rolle Project > Editor zu und klicken Sie auf CONTINUE.
Klicken Sie auf DONE.

So erstellen Sie die Anmeldeinformationen:

Melden Sie sich in Ihrem GCP-Projekt an, gehen Sie zu IAM > Service Accounts und klicken Sie auf den entsprechenden Service Account.
Klicken Sie auf ADD KEY > Create new key > JSON und dann auf CREATE. Dadurch wird eine .json-Datei erstellt und auf Ihren Computer heruntergeladen.

Wir empfehlen, den Schlüssel mit einem aussagekräftigeren Namen als dem automatisch generierten zu speichern (z. B. terragoat_credentials.json) und die resultierende JSON-Datei im Verzeichnis terraform/gcp von terragoat abzulegen. Sobald die Anmeldeinformationen eingerichtet sind, erstellen Sie die Backend-Konfiguration wie folgt:```bash export TF_VAR_environment="dev" export TF_TERRAGOAT_STATE_BUCKET=remote-state-bucket-terragoat export TF_VAR_credentials_path=<PATH_TO_CREDNETIALS_FILE> # example: export TF_VAR_credentials_path=terragoat_credentials.json export TF_VAR_project=<YOUR_PROJECT_NAME_HERE>

Create storage bucket

gsutil mb gs://${TF_TERRAGOAT_STATE_BUCKET}

#### TerraGoat (GCP) anwenden```bash
cd terraform/gcp/
terraform init -reconfigure -backend-config="bucket=$TF_TERRAGOAT_STATE_BUCKET" \
    -backend-config "credentials=$TF_VAR_credentials_path" \
    -backend-config "prefix=terragoat/${TF_VAR_environment}"

terraform apply

TerraGoat (GCP) entfernen```bash