AKS 向けセキュア開発環境を VS Code + Trivy + SonarQube で構築

このラボでは、AKS 上で稼働するアプリケーションのセキュリティ姿勢を強化する開発者の想定で、VS Code を中心とした シフトレフト な開発環境を構築します。Aqua Trivy で Dockerfile の構成不備を、SonarQube for IDE で JavaScript の安全でないコーディング パターンを検出・修正します。

学習目標:

• 事前構築 Windows DevVM(VS Code プリインストール済み)に RDP 接続する
• VS Code に SonarQube for IDE 拡張機能をインストールする
• VS Code に Aqua Trivy 拡張機能をインストールする(Install Trivy コマンド経由)
• ローカル リポジトリで Trivy スキャンを実行し、High 重要度の Dockerfile 問題を検出する
• USER appuser ディレクティブで root 実行を回避する修正を加え、再スキャンで解消を確認する
• SonarQube で JavaScript の top-level await 問題を検出する

• Azure Portal の基本操作
• RDP クライアントの使用経験
• VS Code の基本操作
• Dockerfile の基本構造、JavaScript の基本

• DevVM の VS Code に SonarQube for IDE と Aqua Trivy 拡張がインストールされていること
• ローカル サンプル リポジトリで Trivy がスキャンを実行し、High カテゴリの問題を表示すること
• Dockerfile に USER appuser を追加して再スキャンで Image user should not be 'root' 問題が解消されていること
• SonarQube が index.js の top-level await 問題を Problems パネルに表示すること

• Aqua Trivy の概要
• Trivy VS Code 拡張機能
• SonarQube for IDE
• Dockerfile セキュリティ ベスト プラクティス
• AKS のセキュリティに関するベスト プラクティス