阅读 63

我们为什么需要 DevSecOps 和制品仓库?

首发于 Jenkins 中文社区

Helen Beal 曾经在一次讨论什么是 DevSecOps 工程师的会议上发言。令她惊讶的是,在与会人员中,许多人都没有将安全机制引入 DevOps。在与人们讨论之后,她将大家的问题总结为三类:安全机制会制造额外的隔阂;组织中的人很难理解 DevOps,因此安全机制可能会造成更多困惑;可能没有为安全机制预留空间。

当然,Helen 不同意这些观点。她在技术领域从业近20年,专注于软件开发生命周期,对于 DevOps 和DevSecOps 有一些自己的理解。她自称为 Ranger4 的 「DevOpsologist」,因为她帮助那里的组织实现 DevOps。她在世界各地分享知识,并且她将参加我们在 2018 年的 Nexus User Conference ,讨论工具仓库及其在 DevSecOps 工具链中的角色。

从高层次来看,Helen 为 DevSecOps 提出了一些重要建议:

  • 确保安全是每一个人的职责
  • 认识到安全人员的匹配限制。平均而言,人员比例为 100 名开发人员 : 10 名运维人员 : 1名安全人员
  • 尽早移交产品进行测试和验证。缺乏足够的安全人员会造成一定的约束,移交并自动执行任务可以减少瓶颈并提前解决问题。
  • 积极主动地降低风险
  • 培养安全文化

Helen 花了一些时间阐述如何培养安全文化,组织在维护系统和人员行为安全时可以采用的一些关键原则和行动。

行为安全使个人和团队能够以安全的方式行事。为了培养行为安全,她建议:

  • 让人们意识到,失败是一个学习机会
  • 确保团队之间有共同的责任和目标
  • 不要吝啬花时间做实验
  • 使用可协作的平台来分享学习经验和最佳实践
  • 对实验的过程进行回顾,并确保有后续

她提到了几个真实的例子,例如 Esty,LEGO 还有 P&G 的「失败奖励」以及 Spotify 用来展示和追踪失败的「失败墙」。

系统安全能够保障你的基础设施安全,她关于培养系统安全的建议包括:

  • 用持续集成进行构建
  • 使用部署自动化来驱动一致性和可审计性,并允许即时重新部署上一个已知的可用版本
  • 用 ChatOps 来归类问题和事件
  • 使用应用程序性能管理以提早发现问题并警告
  • 降低出现问题波及范围,例如使用功能开关,金丝雀测试,蓝/绿环境和微服务
  • 将产品需求与服务台相结合
  • 养成使用混沌工程来找到失败原因的习惯

在讲述 DevSecOps 案例并说明如何灌输安全文化后,她将话题转向如何使用制品仓库。 毕竟,这是一个 Nexus 会议,制品仓库是 Nexus 的特色。

她引用了 Manfred Moser 的话:「开发软件中没有制品仓库和制造业中没有仓库是一样的。」你不会奢望在没有仓库的情况下开办工厂,软件开发也一样。制品仓库保存了你每次构建的结果,并且确保你拥有可用的构建。

制品仓库位于 DevOps 工具链的集成阶段,尽管其在构思阶段可被用来表示你想使用的工具是可用状态。

如果没有开源策略,你就不应该使用制品仓库。制品仓库会自动执行你的开源策略,这样就不会像 35% 的组织一样有开源策略但忽略它。

Helen 利用 Nexus Lifecycle 来告诉开发人员如何更好地使用制品,降低风险,并协助运维和安全部门确保使用了正确的软件。

最重要的是,如果你还没有用上 DevSecOps ,那你应该尽早启用。这是未来的趋势,它已经渡过了发展期成为了一个成熟的概念,也有成熟的工具来帮助你。这会花一些时间,但一定是值得的。

如果对 Helen 的整篇演讲感兴趣,可以在 此处 免费观看。

译者:李煜东

关注下面的标签,发现更多相似文章
评论