すべてのリポジトリを監視する魔法

Transcript

1. すべてのリポジトリを管理する魔法 @ShoppingJaws / かいもの 監視
2. 自己紹介 名前：@ShoppingJaws / かいもの 所属：スタディスト 役割：SRE 主食：CI/CD,IaC,DevOps 他　：SRE NEXT運営 好きなツール：1Password,aqua 本名がタガログ語で ”かいもの上手”(意訳)って意味
3. 背景 - どちらかというとPolyレポ環境 - メンテ対象のリポジトリの数は30くらい(多分) - 弊社のリポジトリはIaCで管理されている - wetなmanifestを保つために検証環境を立ち上げると、Botが自動でいろいろなリ ポジトリにPushする
4. 負債 - 脆弱性検知の通知を見逃しがち - ちゃんと設定しないと通知されない - FailureしているActionsに気付けない - リポジトリ間で相互に作用する仕組みがあり、Push先以外でFail する - 全部にif: failureを導入し、徹底するのがむずい - リポジトリ一つ一つに手作業で設定をし続けるのは大変 - 作業は30秒で終わるけど、x30となると話が違う 漏れなく、特定のイベントだけ監視したい
5. アイデア - Github Webhookが使えそうだけど - SlackがNestedなJSONを受付ない仕様 - Webhookの通知すべてを知りたい訳じゃない - dependabot_alert イベントはopen/closeなど事ある毎にWebhookを とばしてくる - リポジトリをIaC管理しているので、宣言的に通知を設定したい - 対象リポジトリに抜け漏れなく導入
6. 何したの LTなのでいろいろ端折って
7. GitHub Webhook ->Lambda -> Slack Workflow
8. Lambdaの処理 平滑化 NestedなJSONを1階層しかないJSONへ変換 →SlackWebhookはフラットなJSONしか受け取ってくれない仕様 例）repository.name => repository-name 条件フィルタ クエリパラメータで渡された条件を元にSlackへ転送するか判断 例）dependabot_alertなら、https://<lambdaURL>?alert.state=open github_repository_webhookに宣言的に通知を記述できるようになった
9. 結論 リポジトリを作る時に宣言するだけで、通知が飛ぶようになった ここにあるイベントであれば通知 できるはず PushイベントだけはLambdaの 同時実行Quotaを念の為確認し ておいた方がよい
10. EOF あれ、これも負債では？