Ke piʻi nei nā hoʻouka kaua kaulahao lako polokalamu i kahi wikiwiki i ʻike ʻole ʻia. Wahi a PūnaeweleWu, ua hoʻonui ʻia kēia mau hoʻouka kaua e 742% i nā makahiki ʻekolu i hala iho nei, e hōʻike ana ʻaʻole lawa nā hana palekana kuʻuna. I ka pane ʻana, ʻo ka Nā Pae Hoʻolako no nā Mea Hana Polokalamu (SLSA) ua hoʻomohala ʻia ke ʻano hana e kōkua i nā hui e hoʻoikaika i kā lākou kaʻina hana hoʻomohala polokalamu mai ka hopena a i ka hopena.
He aha ka SLSA Framework?
Puna: SLSA
ʻO ka SLSA Kūkulu (Nā Pae Hoʻolako no nā Mea Hana Polokalamu), haʻi ʻia "salsa", he ʻōnaehana palekana piha e pale ana i nā polokalamu mai ka hoʻomohala ʻana a i ka hoʻolaha ʻana. Ho'ākāka ia i ʻehā pae o ka palekana, e kūkulu ana kēlā me kēia ma luna o ka mea ma mua e hoʻomaikaʻi i ka palekana polokalamu a me ka ʻike maopopo i loko o kona ola holoʻokoʻa.
Eia kahi ʻike pōkole o nā pae ʻehā:
- Pae 1: Kūpono Kumu – Hōʻoia i nā kūkulu hana ponoʻī a me nā wahi i kāohi ʻia, e kau ana i ke kahua no ka hiki ke hahai ʻia.
- Pae 2: Kumu – Hahai i ke kumu o nā mea hana polokalamu, e hōʻoia ana hiki ke hoʻihoʻi ʻia i ko lākou kumu.
- Pae 3: Palekana – Hoʻokō i nā kaohi komo a me nā kūkulu hiki ke hana hou ʻia e ʻike i ka hoʻopunipuni ʻia.
- Pae 4: Palekana Loa - Hāʻawi i ka pae kiʻekiʻe loa o ka palekana me ka pale ʻana i nā hana hoʻopunipuni, nā kūkulu hermetic a me nā kaohi hoʻomaka koʻikoʻi.
No ke aha he mea koʻikoʻi ka SLSA no CI/CD Pipelines
E like me nā hana a DevOps a CI/CD pipelineHoʻolalelale i ka hoʻomohala polokalamu, hōʻike pū lākou i nā nāwaliwali. Hiki i nā mea hoʻouka ke hoʻohana i kēia mau hakahaka, e hoʻokomo ana i ke code ʻino a i ʻole e hoʻopilikia i nā mea hilinaʻi. Nā Pae Hoʻolako no nā Mea Hana Polokalamu hoʻoponopono i kēia mau pilikia ma ka hōʻoia ʻana ua palekana, moakāka, a hiki ke hōʻoia ʻia kēlā me kēia ʻanuʻu o ke kaʻina hana hoʻomohala.
- ʻIke a me ka hiki ke hahai ʻia: Ke nānā nei ʻo SLSA i kēlā me kēia loli a me nā ʻāpana i kāu pipeline, e maʻalahi ai ka ʻike ʻana i nā nāwaliwali i ka wā mua.
- Kūleʻa KūikawāʻIke a hōʻemi ia i nā pilikia ma mua o ka hiki ke hoʻohana pono ʻia.
- StandardʻokiʻokiHāʻawi ʻo SLSA i kahi ʻike ʻia standard no ka hoʻopaʻa ʻana i nā mea hana polokalamu, e hōʻoia ana i ke kūlike ma waena o nā kaʻina hana hoʻomohala.
Pehea e kākoʻo ai ʻo Xygeni i ka hoʻokō ʻana o SLSA
ʻO ka hoʻokō ʻana i ka hoʻokō ʻana i ka SLSA ʻaʻole ia e pili ana i ka nānā ʻana i nā pahu palekana, akā e pili ana i ka pale ʻana i kāu kaulahao lako polokalamu me ka mālama ʻana i ka wikiwiki a me ka pono o ka hoʻomohala ʻana. No nā hui DevOps, hiki ke paʻakikī ke kaulike ʻana i ka palekana a me ka wikiwiki, ʻoiai hoʻi i ka neʻe wikiwiki. CI/CD pipelines. ʻO kēia kahi e komo ai ʻo Xygeni, e hoʻokele pono ana i nā hana palekana koʻikoʻi e hōʻoia i ka hoʻokō ʻana o kāu kaulahao lako polokalamu a ʻoi aku ma mua o ka ʻōnaehana SLSA standards, me ka hoʻolohi ʻole ʻana i kāu kaʻina hana.
1. Ke hana pono ʻana i ka Build Integrity - SLSA Pae 1
ʻO ke kaʻina mua e palekana ai i ka polokalamu, ʻo ia ke kūlike. Hoʻohui ʻo Xygeni i loko CI/CD pipelines, e hoʻokele pono ana i ka nānā ʻana i ke kūkulu ʻana a me ka hōʻoia ʻana e hahai ana kēlā me kēia kūkulu i kahi kaʻina hana hiki ke hana hou ʻia a hōʻoia ʻia. Ma ka hoʻopau ʻana i nā hewa manual a me ka hōʻemi ʻana i nā pilikia palekana, kōkua ʻo Xygeni i nā hui e hoʻokō me ka hoʻokō ʻana o ka SLSA framework Level 1 me ka ʻole o ka hoʻoikaika. ʻO ke ʻano kēia, mai ka hoʻomaka ʻana, ua pale ʻia kāu mau kūkulu a ua kūlike me nā hana maikaʻi loa.
2. Ke hōʻoia nei i ka puka ʻana a me ka hiki ke hahai ʻia - SLSA Pae 2
He mea nui ka ʻike ʻana i kahi i loaʻa ai kāu mau ʻāpana polokalamu no ka palekana. Ma ka pae 2 o ka SLSA framework, hahai aunoa ʻo Xygeni i ke kumu o kēlā me kēia mea hana lima, e hana ana i nā moʻolelo paʻa ʻole hiki ke hoʻololi ʻia. Me ka ʻike piha ʻana i kāu polokalamu pipeline, hiki i nā hui ke huli i kēlā me kēia ʻāpana i kona kumu, e maʻalahi ai ka ʻike ʻana i nā loli i ʻae ʻole ʻia a pale i nā hoʻouka kaua kaulahao lako.
3. Hoʻoikaika i nā Mana Palekana, SLSA Pae 3
I ka ulu ʻana o nā hoʻoweliweli palekana, pono ka palekana ikaika. Ma ka pae 3 o ka SLSA framework, hoʻolauna ʻo Xygeni i nā kaohi palekana holomua, e like me ka nānā ʻana i ka hilinaʻi manawa maoli a me ka nānā ʻana i ka hiki ke hiki. Ma kahi o ka hoʻouka nui ʻana i nā hui me nā makaʻala, kānana ʻo Xygeni i nā nāwaliwali hiki ʻole ke hoʻohana ʻia, e ʻae ana i nā mea hoʻomohala e kālele i nā pilikia maoli. Me nā nānā hilinaʻi i kūkulu ʻia, hele nā ʻāpana ʻaoʻao ʻekolu i kahi loiloi palekana koʻikoʻi ma mua o ka hoʻohana ʻia ʻana.
4. Ke hoʻokō nei i ka palekana kiʻekiʻe loa me nā kūkulu Hermetic, SLSA Pae 4
Ma ka pae 4 o ke kahua SLSA, hiki i ka palekana polokalamu i kona kiʻekiʻe loa standardʻO nā kūkulu Hermetic, ka mea e pale ai i ka hilinaʻi ʻana i nā hilinaʻi o waho, i hōʻoia ʻole ʻia, he kī ia no ka hōʻoia ʻana ua palekana a pale ʻia kēlā me kēia kūkulu. Hoʻokele ʻo Xygeni i kēia kaʻina hana, e hōʻoia ana ua hana ʻia kēlā me kēia mea hana i loko o kahi ʻano i kāohi ʻia a kaʻawale. Ma ka hōʻoia ʻana i kēlā me kēia ʻanuʻu o ke kūkulu ʻana, ke kākau inoa ʻana i nā loli, a me ka pale ʻana i nā hoʻololi ʻae ʻole ʻia, hāʻawi ʻo Xygeni i ka hilinaʻi piha i ka pono o ka polokalamu me ka ʻole o ka hoʻolohi ʻana i ka hoʻomohala ʻana.
Me Xygeni, ʻo ka hoʻokō ʻana i ka hoʻokō SLSA he maʻalahi, hana ʻakomi, a hoʻohui piha ʻia i kāu CI/CD pipelines.
Pehea Xygeni Build Security Hoʻoikaika i nā hōʻoia SLSA
ʻO ka hoʻokō ʻana i nā Pae Kaulahao Lako no ka hoʻokō ʻana i nā Mea Hana Polokalamu ʻaʻole ia e pili ana i ka nānā ʻana i nā kūkulu ʻana, pono ia i ke kumu, ka hōʻoia, a me ka hoʻokō mau ʻana i ka palekana. Xygeni Build Security hoʻomaʻalahi i kēia kaʻina hana ma o ka hana ʻakomi ʻana i ka hana hōʻoia, ka hōʻoia, a me ka hoʻokele, e maʻalahi ai ka hōʻoia ʻana i ka pono o kāu polokalamu me ka ʻole o ka hoʻohui ʻana i ka hana hou no nā mea hoʻomohala.
Ke hana nei i nā hōʻoia ʻakomi
Hoʻomaka ka hilinaʻi i ka polokalamu me nā hōʻoia ikaika a hiki ke hōʻoia ʻia. Hoʻokumu koke ʻo SALT (Software Attestations Layer for Trust) a Xygeni i nā hōʻoia kūlike me SLSA no kēlā me kēia kūkulu ʻana, e hōʻoia ana i kona kūpaʻa a me ka hahai ʻana i kona kumu. Hōʻoia kēia ua palapala ʻia kēlā me kēia ʻanuʻu i ke kaʻina hana kūkulu, pale ʻia mai ka hoʻopilikia ʻia, a palekana hoʻi.
Ka Hōʻoia Maʻalahi a me ka Hoʻokele Waena
Ka mālama ʻana i nā hōʻike ma waena o nā mea he nui pipelinehiki ke hoʻoluhi nui ʻia. Me ʻO Xygeni, hiki i nā hui ke hōʻoia i nā hōʻoia me ka maʻalahi, e hōʻoia ana e kūlike kēlā me kēia ʻāpana polokalamu me nā kulekele palekana. Hoʻonohonoho ka paepae Xygeni i ka hoʻokele hōʻoia, e hāʻawi ana i kahi hoʻokahi e hahai ai, loiloi, a hoʻokō i ka hoʻokō ʻana me nā Pae Kaulahao Lako no nā Mea Hana Polokalamu a me NIST SP 800-204D standards.
ʻAʻohe CI/CD Hoʻohui no ka Hoʻokomo wikiwiki ʻana
Pono ka palekana e hana pū me nā mea hoʻomohala, ʻaʻole e kūʻē iā lākou. Hoʻohui maikaʻi ʻo Xygeni SALT i nā mea e kū nei CI/CD pipelines, e hāʻawi ana i ka hiki ke komo i ka laina kauoha (CLI) a me ka hoʻokō palekana automated. Inā hoʻohana kāu hui iā GitHub, GitLab, Jenkins, a i ʻole Azure DevOps, hiki iā Xygeni ke hōʻoia i ka hōʻoia manawa maoli, e hōʻoia ana ua palekana nā kūkulu a hiki ke hōʻoia piha ʻia i kēlā me kēia wahi.
Hoʻokō Hoʻopau-a-Hope me ka ʻole o ka hoʻopilikia
Hoʻomaʻalahi ʻo Xygeni i ka hoʻokō ʻana o SLSA ma ka hōʻoia ʻana ua kākoʻo ʻia kēlā me kēia mea hana polokalamu e nā hōʻoia hiki ke hōʻoia ʻia ma ke ʻano cryptographic. Me ka hōʻoia ʻakomi, ka nānā ʻana i ke kumu piha, a me ka hohonu CI/CD ka hoʻohui ʻana, hiki i nā hui ke hoʻokō i ka palekana kiʻekiʻe loa standardme ka ʻole o ka hoʻolohi ʻana i ka hoʻomohala ʻana.
me Xygeni Build Security, ʻo ka hoʻokō ʻana i ka hoʻokō ʻana i ka hōʻoia SLSA he maʻalahi, hana ʻakomi, a hoʻokomo piha ʻia i kāu mau kahe hana DevSecOps.
Nā Hana Maikaʻi Loa no ka Hoʻokō ʻana i ka Papa Hana SLSA
ʻO ka hoʻohui ʻana i ka ʻōnaehana Supply-chain Levels for Software Artifacts i loko o kāu mau kahe hana e pono ai ke kaulike i ka palekana me ka pono. Ma ka hoʻomaka ʻana i nā mea liʻiliʻi, ka hoʻopili ʻana i nā mea kuleana, ka hoʻohana ʻana i ka automation, a me ka hana hou ʻana ma muli o ka manaʻo, hiki iā ʻoe e hoʻopaʻa i kāu kaulahao lako polokalamu me ka mālama ʻana i ka agility. Eia ke ʻano o ke kākoʻo ʻana o Xygeni i kēlā me kēia ʻanuʻu.
1. E hana i kahi loiloi mua
E loiloi i kāu mau kaʻina hana hoʻomohala polokalamu o kēia manawa a ʻike i nā hakahaka e pili ana i nā koi o ka ʻōnaehana SLSA. Kōkua ʻo Xygeni i ka palapala ʻāina i nā waiwai koʻikoʻi a me nā mea hilinaʻi. ʻIke ia i nā nāwaliwali a hōʻike i nā wahi no ka hoʻomaikaʻi ʻana e hoʻokō ai i ka SLSA standards.
2. Hoʻopili mua i nā mea pili
E hoʻopaʻa i ke kūʻai ʻana mai nā hui hoʻomohala, palekana, a me nā hana ma ka hōʻike ʻana i nā pono o ka hoʻohui ʻana o SLSA, e like me ka hoʻemi ʻana i nā pilikia o ke kaulahao lako. Hāʻawi ʻo Xygeni i nā hōʻike maopopo, e maʻalahi ai i nā mea kuleana ke hahai i ka holomua a hoʻomaopopo i ka waiwai o SLSA.
3. E hoʻomaka i ka liʻiliʻi a me ka hoʻonui mālie
E hoʻāʻo i kahi papahana e hoʻāʻo i nā hana SLSA ma kahi pae liʻiliʻi. E hoʻonui i nā papahana nui aʻe i ka wā e ʻoluʻolu ai kāu hui. Hoʻomaʻalahi nā mea hana a Xygeni i ka hoʻomaka a me ka hoʻopili mālie ʻana i nā hana SLSA, e hoʻomaka ana me nā kūkulu hana aunoa a me ka nānā ʻana i nā kumu o kāu polokalamu.
4. Hoʻohui i nā hana SLSA i nā kahe hana e kū nei
E hoʻohana i ka automation e hoʻokomo i nā hana SLSA i loko o kāu CI/CD pipelines, e hoʻemi ana i ka hana lima a me ka hōʻoia ʻana i ke kūlike. Hoʻohui hohonu ʻo Xygeni me CI/CD pipelines, e hana ponoʻī ana i nā hana palekana e like me ka nānā ʻana i ke kūkulu ʻana, ka nānā ʻana i ka hilinaʻi, a me ka hanauna kumu.
5. Hāʻawi i ke aʻo ʻana a me nā kumuwaiwai
E hōʻoia i ka hoʻomaopopo piha ʻana o nā hui i nā koi SLSA ma o nā papahana hoʻomaʻamaʻa a me nā palapala maopopo. Hāʻawi ʻo Xygeni i ke kākoʻo me ke aʻo ʻana a me ka onboarding, e hāʻawi ana i nā interfaces maʻalahi e hoʻohana a me nā hōʻike kikoʻī no ka hoʻololi maʻalahi.
6. E loiloi pinepine a hana hou
E nānā pinepine i ka pono o nā hana SLSA a hoʻoponopono ma muli o nā manaʻo. ʻO nā hōʻike kikoʻī a me nā loiloi a Xygeni e ʻae iā ʻoe e mau e nānā a hoʻololi i kāu mau hoʻolālā palekana.
7. Hoʻohana i nā kumuwaiwai kaiāulu SLSA
E launa pū me ke kaiāulu SLSA no nā hana maikaʻi loa a hāʻawi pū e kaʻana like i kāu mau ʻike. Kākoʻo ʻo Xygeni i ka mālama ʻana a kōkua i kāu hui e pili mau me nā hana palekana ākea.
8. Nānā a Hoʻokō i ka Hoʻokō ʻana
Hoʻokō i ka nānā ʻana i ka manawa maoli a me nā ʻano hana hoʻokō ponoʻī e hōʻoia i ka hoʻokō mau ʻana me SLSA. Ke nānā mau nei ʻo Xygeni i ka hoʻokō a hoʻouna i nā leka hoʻomaopopo ponoʻī no kekahi mau nāwaliwali, ʻoi aku hoʻi i nā ʻāpana ʻaoʻao ʻekolu. Hoʻohui pololei ʻia ka hoʻokō palekana i kāu CI/CD pipeline.
Ke hoʻopaʻa nei i kou wā e hiki mai ana me Xygeni lāua ʻo SLSA
ʻAʻole he koho hou ka palekana ʻana i kāu kaulahao lako polokalamu, he mea pono ia. ʻO ka Papa hana SLSA hāʻawi iā ʻoe i kahi hoʻolālā maopopo e pale i kāu polokalamu, mai ka palekana maʻamau a hiki i nā ʻano hana pale hoʻopilikia holomua. Me ʻO Xygeni, hiki iā ʻoe ke hoʻomaʻalahi i ka mālama ʻana a hoʻonui maʻalahi i kāu mau hana palekana, e mālama ana i kāu polokalamu palekana, ikaika, a mākaukau no ka wā e hiki mai ana.
Makemake ʻoe e pale i kāu kaulahao lako polokalamu? E ʻike pehea e hiki ai iā Xygeni ke kōkua iā ʻoe e hoʻokō i nā Pae Kaula Hoʻolako no nā Mea Hana Polokalamu standards a pale i kāu mau ʻōnaehana kikohoʻe i kēia lā.
Nā nīnau i nīnau pinepine ʻia: Ke hoʻomaopopo nei i ke ʻano SLSA no CI/CD Pipelines
ʻO SLSA ka mea maikaʻi loa Standard no ka mea, CI/CD Pipelines?
ʻO SLSA (Nā Pae Kaulahao Hoʻolako no nā Mea Hana Polokalamu) kekahi o nā ʻōnaehana palekana piha loa a hoʻohana nui ʻia no CI/CD pipelines. Hāʻawi ia i kahi ala i hoʻonohonoho ʻia a pae ʻia no ka hoʻopaʻa ʻana i ka hoʻomohala polokalamu, e kālele ana i ka pono o ke kūkulu ʻana, ke kumu, a me ke kūʻē ʻana i ka hoʻopilikia ʻia.
ʻOiai ʻaʻole ʻo SLSA wale nō standard, kū i waho ia no ka mea:
- Uhi ia i ke ola holoʻokoʻa o ka polokalamu, mai ka pono o ke code kumu a hiki i ka hoʻolaha ʻana.
- Ho'ākāka i nā pae palekana maopopo (1-4), e hiki ai ke hoʻololi no nā pono palekana like ʻole.
- Hana pū me nā ʻōnaehana palekana ʻē aʻe e like me NIST SP 800-204D a me OWASP's CI/CD Nā Pōʻino Palekana.
No nā hui e ʻimi nei e hoʻoikaika CI/CD palekana, he koho maikaʻi loa ʻo SLSA. Eia nō naʻe, ma muli o nā pono hoʻokō kikoʻī, hiki i kekahi mau hui ke hahai pū iā NIST, CIS, a i ʻole nā ʻōnaehana palekana kikoʻī o ka ʻoihana me SLSA.
ʻO wai ka mea e hoʻomalu ana i ka SLSA Framework no CI/CD Pipelines?
Hoʻomalu ʻia ʻo SLSA e ka OpenSSF (Open Source Security Foundation), he papahana Linux Foundation i hoʻolaʻa ʻia no ka hoʻomaikaʻi ʻana software supply chain security. OpenSSF hana pū me Google, GitHub, Microsoft, a me nā alakaʻi ʻoihana ʻē aʻe e hoʻomohala a hoʻomaʻemaʻe i ka ʻōnaehana SLSA.
Hoʻomau ka hui hana SLSA i ka hoʻolālā e hoʻoponopono i nā hoʻoweliweli e kū mai ana, e kūlike me nā hana maikaʻi loa, a hoʻomaikaʻi i ka hoʻohana ʻana i ka palekana ma CI/CD pipelines. Hiki i kekahi mea makemake e hāʻawi a noho hou paha i nā hoʻomohala SLSA ke launa pū me OpenSSFke kaiāulu a me nā hui hana.
