AWS CodeBuildでbuildspec.ymlに記載した「aws ecr describe-image-scan-findings」コマンドが失敗してしまう。

Question

実現したいこと

AWS CodeBuildで、
aws/codebuild/standard:3.0からaws/codebuild/standard:7.0に変えた後再ビルド実行したら
buildspec.ymlに記載した「aws ecr describe-image-scan-findings」コマンドが失敗してしまうので、成功するように解決したいです。

発生している問題・分からないこと

エラーメッセージのうち下記エラーがきっかけで失敗しているように見えます。

[Container] 2024/02/08 09:09:20.363424 Running command scan_status=$(aws ecr describe-image-scan-findings --repository-name $target_project_name_l --image-id imageTag=latest | jq -r '.imageScanStatus.status' )
An error occurred (ImageNotFoundException) when calling the DescribeImageScanFindings operation: The image with imageId {imageDigest:'null', imageTag:'latest'} does not exist within the repository with name 'dcmprovisioningservice' in the registry with id '3544XXXXXXXX'

エラーメッセージ

[Container] 2024/02/08 09:09:20.363424 Running command scan_status=$(aws ecr describe-image-scan-findings --repository-name $target_project_name_l --image-id imageTag=latest | jq -r '.imageScanStatus.status' )

An error occurred (ImageNotFoundException) when calling the DescribeImageScanFindings operation: The image with imageId {imageDigest:'null', imageTag:'latest'} does not exist within the repository with name 'dcmprovisioningservice' in the registry with id '3544XXXXXXXX'

[Container] 2024/02/08 09:09:20.991607 Running command timeout_count=0

[Container] 2024/02/08 09:09:20.997543 Running command while :
do
  echo "imageScanStatus: $scan_status";
  if [ $scan_status = "COMPLETE" ]; then 
    break; 
  fi
  if [ $timeout_count -gt 20 ]; then 
    echo "Timeout!!";
    exit 1; 
  fi
  sleep 3;
  scan_status=$(aws ecr describe-image-scan-findings --repository-name $target_project_name_l --image-id imageTag=latest | jq -r '.imageScanStatus.status' );
  timeout_count=$(( timeout_count + 1 ));
done

imageScanStatus: 
/codebuild/output/tmp/script.sh: 7: [: =: unexpected operator

An error occurred (ImageNotFoundException) when calling the DescribeImageScanFindings operation: The image with imageId {imageDigest:'null', imageTag:'latest'} does not exist within the repository with name 'dcmprovisioningservice' in the registry with id '3544XXXXXXXX'
imageScanStatus: 
/codebuild/output/tmp/script.sh: 7: [: =: unexpected operator

該当のソースコード

version: 0.2

env:
  parameter-store:
    MAVEN_TSCPP_DEVELOPER_USER: "MAVEN_TSCPP_DEVELOPER_USER"
    MAVEN_TSCPP_DEVELOPER_PASSWORD: "MAVEN_TSCPP_DEVELOPER_PASSWORD"
phases:
  install:
    commands:
      - nohup /usr/local/bin/dockerd --host=unix:///var/run/docker.sock --host=tcp://127.0.0.1:2375 --storage-driver=overlay&
      - curl -sS https://dl.yarnpkg.com/debian/pubkey.gpg | apt-key add -
      - apt -y update
      - apt -y install jq
      - timeout 15 sh -c "until docker info; do echo .; sleep 1; done"
      - cp -fr $CODEBUILD_SRC_DIR_BuildArtifact/build ./

  pre_build:
    commands:
      - export target_project_name_l=`echo "$TARGET_PROJECT_NAME" | awk '{print tolower($0)}'`
      - export image_tag=$CODEBUILD_RESOLVED_SOURCE_VERSION
      - export ecr_uri=354447979371.dkr.ecr.us-west-2.amazonaws.com/$target_project_name_l

      # AWS認証情報取得
      # stsのendpointに、明示的にデプロイ対象のregionを指定しないと、
      # sts endpointから取得できる認証tokenが、デフォルトでONになっていないリージョンで操作権限のないものとなるため注意
      - credentials=$(aws sts assume-role --duration-seconds 3600 --role-arn arn:aws:iam::354447979371:role/CrossAccountRole_832053171557_ECRPushRole --role-session-name session-hoge --region us-west-2 --endpoint https://sts.us-west-2.amazonaws.com | jq .Credentials)
      - export AWS_ACCESS_KEY_ID=$(echo $credentials | jq -r .AccessKeyId)
      - export AWS_SECRET_ACCESS_KEY=$(echo $credentials | jq -r .SecretAccessKey)
      - export AWS_SESSION_TOKEN=$(echo $credentials | jq -r .SessionToken)
      - export AWS_DEFAULT_REGION=us-west-2
      - aws sts get-caller-identity

  build:
    commands:
      - |
        docker login 19maven.tscapi.g-book.com -u $MAVEN_TSCPP_DEVELOPER_USER -p $MAVEN_TSCPP_DEVELOPER_PASSWORD
        docker pull 19maven.tscapi.g-book.com/openjdk:8-jdk
        docker tag 19maven.tscapi.g-book.com/openjdk:8-jdk openjdk:8-jdk
        docker pull 19maven.tscapi.g-book.com/openjdk:8-jdk-slim
        docker tag 19maven.tscapi.g-book.com/openjdk:8-jdk-slim openjdk:8-jdk-slim
        docker pull 19maven.tscapi.g-book.com/openjdk:8u282-jdk-slim
        docker tag 19maven.tscapi.g-book.com/openjdk:8u282-jdk-slim openjdk:8u282-jdk-slim
        docker pull 19maven.tscapi.g-book.com/alpine
        docker tag 19maven.tscapi.g-book.com/alpine alpine
        docker pull 19maven.tscapi.g-book.com/nginx@sha256:08262e7a01055bd33920b3f59e2249f438eea5d25cc67b8d8c7f5854437786d2
        docker images
        docker tag 2a36393edaf1 nginx
        docker tag 2a36393edaf1 19maven.tscapi.g-book.com/nginx

      # Jarファイルの名前を変更（Dockerfile.deploy.awsに定義されている名前と合わせるため）
      - mv build/libs/*.jar build/libs/$TARGET_PROJECT_NAME-0.0.1-SNAPSHOT.jar

      # dockerイメージ作成
      - docker build -t $ecr_uri:latest -f Dockerfile.deploy.aws .
      - docker tag $ecr_uri:latest $ecr_uri:$image_tag

      # AWS ECRレポジトリ作成
      - aws ecr create-repository --repository-name $target_project_name_l | awk '{print $1}'

      # AWS ECRログイン
      - aws ecr get-login-password --region us-west-2 | docker login --username AWS --password-stdin $ecr_uri

      # ECRにイメージがPushされたタイミングで自動スキャンされるように設定する
      - aws ecr put-image-scanning-configuration --repository-name $target_project_name_l --image-scanning-configuration scanOnPush=true

      # dockerイメージをECRにPush
      - docker push $ecr_uri:latest
      - docker push $ecr_uri:$image_tag

      ################### ↓↓↓ ECRスキャン ↓↓↓ ###################
      # スキャンの進行状況を取得
      - scan_status=$(aws ecr describe-image-scan-findings --repository-name $target_project_name_l --image-id imageTag=latest | jq -r '.imageScanStatus.status' )

      # スキャンの進行状況がCOMPLETEになるまで結果を取得
      - timeout_count=0
      - |
        while :
        do
          echo "imageScanStatus: $scan_status";
          if [ $scan_status = "COMPLETE" ]; then 
            break; 
          fi
          if [ $timeout_count -gt 20 ]; then 
            echo "Timeout!!";
            exit 1; 
          fi
          sleep 3;
          scan_status=$(aws ecr describe-image-scan-findings --repository-name $target_project_name_l --image-id imageTag=latest | jq -r '.imageScanStatus.status' );
          timeout_count=$(( timeout_count + 1 ));
        done
      
      以下略

試したこと・調べたこと

• teratailやGoogle等で検索した
• ソースコードを自分なりに変更した
• 知人に聞いた
• その他

上記の詳細・結果

buildspec.ymlの「while :」を「while true」に変えた。

補足

ビルドプロジェクトの詳細
・環境タイプ：Linux EC2
・イメージ：aws/codebuild/standard:7.0（aws/codebuild/standard:5.0でも試した。）

Comments

[yu_1985]

aws ecr describe-image-scan-findingsのところは手動で実行したときにはうまくいくのでしょうか？
--image-id の指定の仕方が正しくないように思います。

[shoco]

マネジメントコンソール内のシェル内のAWS CloudShellで実行しましたが、
このやり方だと成功します。

[cloudshell-user@ip-XX-XXX-XX-X ~]$ aws ecr describe-image-scan-findings --repository-name XXXXXXXXXXXXX --image-id imageTag=latest

[shoco]

--region オプション指定したらうまくいきました。

Answer 1

コマンドに--region オプション指定したらうまくいきました。