AWS CDKのカスタムリソースでContinuum（旧Security Agent）を実装した話 | Implementing Continuum (formerly Security Agent) via AWS CDK Custom Resource

Transcript

1. JAWS-UG 茨城 #17 秋の推しAWSサービスLTまつり！ CloudFormation未対応でも諦めない！ AWS CDKのカスタムリソースで Continuum（旧Security Agent）を実装した話 2026.9.30（水） 池田 晃尚（@akikii__）
2. アキキー | 池田 晃尚 株式会社メイツ バックエンドエンジニア / SRE 推しサービス AWS CDK JAWS-UG CDK支部 AWS Community Builders Dev Tools, 2026〜
3. AWS CDKとは？ プログラミング言語でAWSリソースを定義するIaCフレームワーク → プログラミング言語 コードからCloudFormation テンプレートを合成 Special Thanks! Shota Kawasaki (@kawaaaas) → CloudFormation リソースの状態と比較して 差分をデプロイ AWSリソース
4. プロジェクトで Continuumコードスキャニングを 導入したときの話をします
5. Continuumコードスキャニングとは？ Continuum（Security Agentが改名）の機能の1つ AIエージェントがソースコードをスキャンして脆弱性を検出する機能 フルリポジトリスキャン リポジトリ スキャン結果 GitHub GitLab Bitbucket High リポジトリ全体を読む Continuum コードスキャニング 旧AWS Security Agent など Create a code review - AWS Security Agent (now part of AWS Continuum) 脆弱性と修正案を出す 例 SQLインジェクション src/db/query.ts:42 - query(`... id = ${id}`) + query("... id = ?", [id]) Medium ハードコードされた 秘密情報 config/app.ts:8 https://docs.aws.amazon.com/securityagent/latest/userguide/perform-code-review-scan.html
6. Continuumコードスキャニングとは？ リソース構成 GitLab アクセストークン AWS Continuum （旧AWS Security Agent） 接続 Integration GitLabと接続する CloudFormation未対応 リポジトリ CodeReviewがスキャンする AgentSpace CloudFormation対応 Continuumが管理するアプリの単位 CodeReview CloudFormation未対応
7. AWS CDKとは？（再） プログラミング言語でAWSリソースを定義するIaCフレームワーク → プログラミング言語 コードからCloudFormation テンプレートを合成 → CloudFormation リソースの状態と比較して 差分をデプロイ AWSリソース
8. AWS CDKとは？（再） プログラミング言語でAWSリソースを定義するIaCフレームワーク → → CloudFormation未対応のリソースは 標準的な方法ではCDKで定義できない プログラミング言語 コードからCloudFormation テンプレートを合成 CloudFormation リソースの状態と比較して 差分をデプロイ AWSリソース
9. ContinuumコードスキャニングをCDKで管理するため カスタムリソースで定義しました！
10. カスタムリソースとは？ CloudFormationのライフサイクルに合わせてカスタムの処理を実行する仕組み カスタムリソース カスタムリソースを新規作成 Create カスタムリソースのプロパティを更新 Update CloudFormation のリソース カスタムリソースを削除 APIを呼ぶ Lambda関数 API AWS・外部のAPI Delete CloudFormationが応答を待ち受ける カスタムリソースを使用してカスタムプロビジョニングロジックを作成する S3オブジェクト 実行結果を書き込む https://docs.aws.amazon.com/ja_jp/AWSCloudFormation/latest/UserGuide/template-custom-resources.html
11. カスタムリソースとは？ e.g. S3バケットを空にするカスタムリソース Bucket（L2 Construct）で autoDeleteObjects: true にすると作られる カスタムリソース 何もしない Create CloudFormation のリソース Update Delete 何もしない Lambda関数 S3バケット オブジェクトを全て削除する
12. 実装が複雑になりそうだけど… 何故そこまでしてCDKで定義したかったの？ CloudFormationのライフサイクルで管理できる 定義したリソースを複製しやすい e.g. リポジトリごとにCodeReviewを作れる 設定を設計意図と一緒にソースコードに残せる マネコンから作ると設計意図を残すには別途ドキュメントが必要 ほかにも 他のリソースと合わせてCDKで統一できる CloudFormationが対応したらL1 Constructに取り込みやすい
13. それでは... Continuumコードスキャニングを CDKのカスタムリソースを使って定義します
14. Continuumコードスキャニングのリソース構成 GitLab アクセストークン AWS Continuum （旧AWS Security Agent） 接続 Integration GitLabと接続する CloudFormation未対応 リポジトリ CodeReviewがスキャンする AgentSpace CloudFormation対応 Continuumが管理するアプリの単位 CodeReview CloudFormation未対応 → Integration・CodeReviewをカスタムリソースで定義します！
15. CodeReviewを定義するためのポイント 連携したリポジトリをコードスキャンするためのリソース CloudFormationのイベントに対応したAPIが揃っている Create: CreateCodeReview Update: UpdateCodeReview Delete: BatchDeleteCodeReviews AWS Security Agent API Reference - Actions https://docs.aws.amazon.com/securityagent/latest/APIReference/API_Operations.html
16. CodeReviewを定義するためのポイント 連携したリポジトリをコードスキャンするためのリソース CloudFormationのイベントに対応したAPIが揃っている Create: CreateCodeReview Update: UpdateCodeReview Delete: BatchDeleteCodeReviews → AwsCustomResourceを利用する AWS Security Agent API Reference - Actions https://docs.aws.amazon.com/securityagent/latest/APIReference/API_Operations.html
17. AwsCustomResourceとは？ CDKが提供しているカスタムリソースの作り方の1つ CloudFormationイベントごとにAWS SDKを1つだけ実行できる プロパティを渡すだけで簡単にカスタムリソースを作成できる 指定したAWS SDKからIAMポリシーを自動で生成する 権限が足りない場合は自分で指定する必要あり class AwsCustomResource (construct) · AWS CDK https://docs.aws.amazon.com/cdk/api/v2/docs/aws-cdk-lib.custom_resources.AwsCustomResource.html
18. AwsCustomResourceとは？ CodeReviewの定義例 プロパティ カスタムリソース（AwsCustomResource） AWS SDKの呼び出しを渡す onCreate: action: CreateCodeReview parameters: {…} onUpdate: action: UpdateCodeReview parameters: {…} onDelete: action: BatchDeleteCodeReviews parameters: {…} CreateCodeReview Create CloudFormation のリソース Update Lambda関数 UpdateCodeReview CodeReview AwsCustomResourceが作成 Delete BatchDeleteCodeReviews
19. Integrationを定義するためのポイント リポジトリとContinuumを連携するためのリソース プロパティにアクセストークン（シークレット）を指定する必要がある テンプレートやログからシークレットが流出してしまう 回避しようとすると単一のAWS SDK呼び出しでは実現できない AwsCustomResourceは利用できない
20. Integrationを定義するためのポイント リポジトリとContinuumを連携するためのリソース プロパティにアクセストークン（シークレット）を指定する必要がある テンプレートやログからシークレットが流出してしまう 回避しようとすると単一のAWS SDK呼び出しでは実現できない AwsCustomResourceは利用できない → カスタムリソースプロバイダーフレームワークを利用する
21. プロバイダーフレームワークとは？ CDKが提供しているカスタムリソースの作り方の1つ CloudFormationイベントに合わせた処理をLambda関数で書ける 処理はソースコードで書くので、複雑な処理も任せられる カスタムリソースに必要な機能を簡単に使える CloudFormationとのやり取り エラーハンドリング 非同期処理のポーリング など… 呼び出す処理に必要な権限は自分で付与する必要がある Provider Framework · AWS CDK https://docs.aws.amazon.com/cdk/api/v2/docs/aws-cdk-lib.custom_resources-readme.html#provider-framework
22. プロバイダーフレームワークとは？ Integrationの定義例 ※ 簡素化のためCreateイベントのみに省略 カスタムリソース（プロバイダーフレームワーク） ① トークンを取得 GetSecretValue プロパティ 自分で決めた値を渡す secretArn など… CloudFormation のリソース Create Lambda関数 Lambda関数 フレームワークが作成 自前で書く フレームワーク用 処理用 ② トークンを指定 CreateIntegration Secrets Manager アクセストークン Integration
23. AwsCustomResourceと プロバイダーフレームワークの使い分け 基本はAwsCustomResourceを使い、 実現できない要件があるときだけプロバイダーフレームワークを使う AwsCustomResource AWS SDKの呼び出し1回で済む プロバイダーフレームワーク APIの呼び出しが1回に収まらない 非同期処理の完了を待ちたい AWS SDKではできない処理をしたい
24. おわりに カスタムリソースを使えば CloudFormation未対応のサービスも CDKで管理できる！ その他にも... CloudFormationで定義できないものを管理したい デプロイしたリソースにデータを投入したい デプロイフローに処理を差し込みたい デプロイ時に外部から情報を取得したい
25. 宣伝
26. 積極採用中 バックエンド/フロントエンド/SRE 株式会社メイツ Mates Inc. カジュアル面談はこちら
27. Thank You! ＼ ご清聴ありがとうございました！ ／