AikidoによるFly.ioのスキャン

Aikidoは、特定のインテグレーションを通じてFly上のワークロードの保護を完全にサポートしています。将来的にはネイティブなインテグレーションが追加される可能性がありますが、現時点でも以下を組み合わせることで、完全なカバレッジを実現できます。

アプリケーションコード、依存関係、Dockerfile向けのコードスキャン
Fly コンテナイメージ向けのLocal Scanner

機能

コンテナイメージスキャン

Flyのレジストリは、保存されているすべてのイメージ/タグの一覧表示をサポートしていません。Flyはリリースから参照されて初めてイメージを公開するため、APIを通じてレジストリの全内容を列挙することはできません。

その回避策として、現在デプロイされている（実行中の）イメージのイメージ参照を取得し、ローカルにpullした上で、Aikido Local Scannerを使って毎日のスケジュールでスキャンします。

export AIKIDO_API_KEY="AIK_CI_..."
fly releases --image \
  | awk 'NR > 1 && $2 == "running" { print $NF }' \
  | sort -u \
  | xargs -r -I {} sh -c 'docker pull "{}" && aikido-local-scanner image-scan --apikey "$AIKIDO_API_KEY" --force-create-image-for-tag "{}"'

上記は、Fly.io上の各アプリケーションごとに実施する必要があります。