TrainWithShubham/AI-BankApp-DevOps 프로젝트 개요

Spring Boot 3, Java 21로 구축되었으며 Contextual AI가 통합된 고성능 컨테이너화 금융 플랫폼입니다. 이 프로젝트는 GitHub Actions, OIDC 인증 및 AWS 관리형 서비스를 사용하여 안전한 "DevSecOps 파이프라인"을 구현합니다.

애플리케이션은 다중 계층(multi-tier)의 분할된 AWS 환경에 배포됩니다. 제어 평면(control plane)은 모든 단계에서 통합 보안 게이트를 갖춘 GitHub Actions를 활용합니다.

graph TD
subgraph "External Control Plane"
GH[GitHub Actions]
...

CI/CD 파이프라인은 코드가 프로덕션에 도달하기 전에 9개의 순차적인 보안 게이트를 강제 적용합니다:

컨테이너 레지스트리 (ECR): -
애플리케이션 서버 (EC2):
아래의 내용으로 Ubuntu 22.04 인스턴스를 배포합니다.

User Data

.#!/bin/bash sudo apt update sudo apt install -y docker.io docker-compose-v2 jq sudo usermod -aG docker ubuntu sudo newgrp docker sudo snap install aws-cli --classic

보안 그룹(Security Group)을 구성하여 포트 22 (관리)와 포트 8080 (서비스)에 대한 인바운드 규칙을 열어주는 것이 좋습니다.

생성된 보안 그룹에 name을 부여하는 것이 좋습니다. -
IAM Instance Profile (IAM EC2 role)을 생성하고 다음 권한을 포함합니다:

이를 애플리케이션 EC2에 연결합니다. EC2 -> Actions -> Security -> Modify IAM role -> Attach created IAM role을 선택하세요.

EC2 인스턴스에 연결하여 아래 명령어를 실행해 IAM 역할이 정상 작동하는지 확인합니다.

aws sts get-caller-identity

IAM 역할을 가정(assumed)한 계정 세부 정보가 표시됩니다.

AI 엔진 계층 (Ollama):
전용 Ubuntu EC2 인스턴스를 배포합니다.

인바운드 포트 11434를 엽니다.

애플리케이션 EC2 보안 그룹(Security Group)에서. 생성된 보안 그룹에 이름을 지정하는 것이 좋습니다.

• ollama-setup.sh 스크립트를 통해 EC2 사용자 데이터(User Data)를 사용하여 초기화를 자동화합니다.

• AI 엔진이 응답 가능한지, 그리고 모델이 다운로드되었는지 확인합니다.

AI 엔진 EC2: ollama list

배포 파이프라인은 GitHub와 AWS 간의 안전하고 키가 필요 없는 인증을 위해 OpenID Connect (OIDC)를 사용합니다.

• IAM Identity Provider: -
  Deployment Role:
  'Identity provider'에서 생성된 항목을 클릭합니다.

• GitHubActionsRole이라는 이름의 역할을 할당 및 생성합니다. - 다음 세부 정보를 입력합니다:

Identity provider: 생성된 항목 선택.
Audience: 생성된 항목 선택.
GitHub organization: 이 리포지토리가 위치한 GitHub 사용자 이름 또는 조직명.
GitHub repository: 이 프로젝트의 리포지토리 이름을 작성합니다. (예: DevSecOps-Bankapp)
GitHub branch: 이 프로젝트에 사용할 브랜치입니다. (예: devsecops)

• 다음(Next)을 클릭합니다.

• AmazonEC2ContainerRegistryPowerUser 권한을 할당합니다. - 다음(Next)을 클릭하고 역할 이름을 입력한 후 역할 생성(Create role)을 클릭합니다.

'다른 유형의 비밀(Other type of secret)'에 bankapp/prod-secrets라는 이름의 비밀을 생성하고 다음 키-값 쌍을 포함합니다:

GitHub 리포지토리 설정 내에서 다음 액션 비밀(Action Secrets)을 구성합니다:

참고: NVD_API_KEY는 NVD API 속도 제한을 ~30초당 5회 요청에서 30초당 50회 요청으로 높여, OWASP Dependency Check 스캔 시간을 30분 이상에서 8분 미만으로 단축합니다. 이 키가 없으면 SCA 작업이 시간 초과됩니다.

1단계: API 키 요청

• 조직 이름,
  이메일 주소를 입력하고 조직 유형을 선택하세요. -
  사용 약관에 동의하고 제출을 클릭합니다.

2단계: API 키 활성화

• 이메인 받은 편지함에서 [email protected]로부터 온 메시지를 확인합니다. -
  이메일의 활성화 링크를 클릭합니다. -
  제공된 UUID와 이메일을 입력하여 활성화하고 -
  링크가 키를 확인하고 활성 상태로 표시합니다.

3단계: API 키 받기

4단계: GitHub Secret으로 추가

• GitHub에서 리포지토리로 이동합니다.

• 설정(Settings) → Secrets and variables → Actions → New repository secret으로 이동합니다. -
  이름: NVD_API_KEY

• 값: 복사한 API 키를 붙여넣습니다.

• **Secret 추가(Add Secret)**를 클릭합니다.

DevSecOps 라이프사이클은 DevSecOps 메인 파이프라인을 통해 오케스트레이션되며, CI, Build, CD의 세 가지 모듈식 워크플로우를 안전하게 순차적으로 실행합니다. 이들은 코드가 프로덕션에 도달하기 전에 9개의 순차적인 보안 게이트를 적용합니다. main 또는 devsecops 브랜치로 git push가 발생할 때마다 전체 파이프라인이 자동으로 트리거됩니다.

모든 스캔 보고서 (OWASP, Trivy, ZAP)는 각 GitHub Actions 실행에서 다운로드 가능한 **아티팩트(Artifacts)**로 업로드됩니다. 아티팩트를 확인하실 수 있습니다.

프로세스 상태: docker ps

애플리케이션 작동 여부: -
데이터베이스 연결성: docker exec -it db mysql -u <USER> -p bankappdb -e "SELECT * FROM accounts;"

ZAP은 cd.yml의 DAST - OWASP ZAP Baseline Scan 작업에 의해 자동으로 생성됩니다. 이에 대한 자세한 정보(어떻게, 왜 하는지)는 google...에서 읽을 수 있습니다.
네트워크 검증: nc -zv <OLLAMA-PRIVATE-IP> 11434

학습 즐기세요 (Happy Learning)

TrainWithShubham