Fizahan-takelaka
Ireo rindranasa avy amin'ny rahona, izay ahitana singa mahaleo tena isan-karazany fantatra amin'ny anarana hoe microservices, dia noforonina tamin'ny fampiasana ny fomba fiasa fampivoarana rindrambaiko agile antsoina hoe DevSecOps, izay manantitrantitra ny fiaraha-miasa sy ny fiarovana mandritra ny dingana manontolo.
Ny lafiny iray tena ilaina amin'ny fampivoarana rindranasa cloud-native dia ny fampiasana Continuous Integration/Continuous Delivery (CI/CD) pipelines. IRETO pipelineahafahan'ny mpamorona mampiditra mora foana ny fanovana kaody vaovao ary manome fanavaozana tsy tapaka amin'ny fampiharana. Na izany aza, ny fanadihadiana vao haingana dia nanasongadina ny maha-zava-dehibe ny fandinihana ny tsingerin'ny fiainan'ny fampivoarana rindrambaiko manontolo (SDLC), fantatra amin'ny anarana hoe rojo famatsiana rindrambaiko (SSC), raha ny momba ny fiarovana.
Ao anatin'ny fivoaran'ny tontolon'ny fampivoarana rindrambaiko sy ny fiarovana, tena ilaina ny mijanona ho lohalaharana amin'ireo fandrahonana mety hitranga. Izany no mahatonga ny National Institute of Standardsy Teknolojia (NIST) dia nandray dingana lehibe tamin'ny famoahana NIST SP 800-204D, mampiditra software supply chain security (SSCS) mandrefy ao anatin'ny CI/CD pipelines. Ity antontan-taratasy ity dia miorina amin'ny fototry ny Secure Software Development Framework (SSDF), izay navoakan'ny NIST ihany koa.
Ho an'ireo fikambanana mikasa hanatsara ny fiarovana ny rojo famatsiana, ity loharano vaovao avy amin'ny NIST Tonga ara-potoana sy sarobidy izany. Tato anatin'ny taona vitsivitsy, dia nahita andrana maro be natao hanimba ny rojo famatsiana rindrambaiko isika, izay manamafy ny filàna maika ny fepetra fiarovana nohatsaraina. Mahatratra 82% amin'ireo CIO no naneho ny ahiahiny momba ny fahalemen'ny rojo famatsiana rindrambaikony amin'ny mety ho fanafihana.
Raha manahy momba ny fiarovana ny rojo famatsianao ianao dia zava-dehibe ny mitadidy fa maro ireo fikambanana mizara ireo ahiahy ireo ary mitady fomba hampihenana ny risika sy hanamafisana ny rojo famatsiana rindrambaiko. Andeha hojerentsika lalindalina kokoa ny paikady sy ny fiheverana hampidirana azy. SSCS fepetra ao anatin'ny asanao andavanandro amin'ny DevOps.
Voalohany indrindra, zava-dehibe ny mamaritra ny fanafihana amin'ny rojo famatsiana sy ny fomba fiasa manokana Software Supply Chain Security Ireo fandrahonana mipoitra mandritra ny dingana loharano.
SSCS sy CI/CD Pipelines: Ny fon'ny DevSecOps
Fampidirana mitohy sy fametrahana mitohy (CI/CD) PipelineNanova tanteraka ny fizotran'ny fampivoarana rindrambaiko ny s, izay miasa ho toy ny andry iankinan'ny paradigma DevSecOps agile. Ireo pipelineRafitra saro-takarina ny s izay mikirakira kaody avy amin'ny loharano isan-karazany, anisan'izany ny tahiry avy amin'ny antoko voalohany sy ireo tahiry open-source na ara-barotra avy amin'ny antoko fahatelo.
Ny dingana fananganana ao anatin'ireto pipelineDihy sarotra misy fiankinan-doha tarihin'ny lojika fampiharana ny s, izay mamorona builds avy amin'ny artifacts kaody loharano maro. Rehefa vita ireo artifacts ireo dia tehirizina ao amin'ny tahiry build natokana izy ireo, mandalo fitsapana henjana alohan'ny fonosana. Ireo fonosana ireo dia tehirizina ao amin'ny tahiry manokana, dinihina raha misy lesoka, ary farany dia apetraka amin'ny tontolo fitsapana na famokarana. Ireo sehatra toa ny GitHub Actions workflows, GitLab Runners, ary Buildcloud dia nanohana ireo workflows ireo.
Ho an'ny fiarovana ny SSC ao anatin'ireny fomba fiasa ireny, tena ilaina ny famoronana angon-drakitra betsaka momba ny fiaviana. Ity angon-drakitra ity dia miantoka ny fahafahana manara-maso sy ny fandraisana andraikitra manerana ny pipeline, miasa ho toy ny jiro maneho ny mangarahara. Zava-dehibe ny mamaha ny fomba fiasa anatiny momba ny fiarovana SSC ho an'ny rindrambaiko avy amin'ny antoko voalohany sy ny fomba fiasa momba ny fiarovana momba ny môdely rindrambaiko avy amin'ny antoko fahatelo. Roa sosona ny tanjona ankapobeny:
- Mampihatra fepetra fiarovana mba hisorohana ny fanodinkodinana ny fizotran'ny famokarana rindrambaiko ary hisorohana ny fampidirana fanavaozana rindrambaiko mampidi-doza.
- Tohano ny fahamarinan'ny CI/CD pipeline ireo zavatra vita tanana sy asa atao amin'ny alàlan'ny famaritana ny andraikitra sy ny fahazoan-dàlana ho an'ireo mpisehatra rehetra tafiditra amin'ny pipeline.
Fotodrafitrasa DevOps: Ny fototry ny CI/CD
Ireo fitaovana sy teknolojia fototra iorenan'ny DevOps no tena miasa mangina amin'ny Continuous Integration. Ny fandrindrana sy ny fikojakojana azy ireo dia tena ilaina amin'ny fiarovana sy ny fahamarinan'ny rafitra manontolo. CI/CD dingana. Tsy azo iadian-kevitra ny fanaraha-maso sy fanavaozana tsy tapaka ireo fitaovana ireo mba hahazoana antoka fa voavaha mialoha ireo fahalemena.
Nipoitra ho mpiara-miasa sarobidy amin'ity ezaka ity ireo fitaovana fitiliana mora simba mandeha ho azy. Amin'ny alàlan'ny fanaraha-maso tsy tapaka ny fitaovana sy ny fikirakirana DevOps, dia afaka mamantatra ireo mety ho fahalemena na fahadisoana amin'ny fotoana tena izy izy ireo. Ity fomba fiasa mavitrika ity dia manome fahatakarana ny fahasalaman'ny fiarovana amin'ny ankapobeny ao amin'ny tontolo DevOps, ahafahana manamboatra izany ara-potoana.
Ankoatra izany, ny fisafidianana plugins ao amin'ny DevOps toolchain dia mety hisy fiantraikany lehibe amin'ny fiarovana. Na dia manatsara ny fiasa aza ny plugins, dia mety hampiditra fahalemena ihany koa izy ireo raha tsy voamarina tsara. Zava-dehibe ny manombana ny plugins mifototra amin'ny lazany, ny tantaran'ny fiarovana, ary ny fanohanan'ny vondrom-piarahamonina. Ny famerenana sy fanavaozana tsy tapaka ireo plugins ireo dia afaka manamafy orina kokoa ny tontolon'ny fiarovana.
Fiarovana ao CI/CD Pipelines: A Tsy azo ifampiraharahana
Ny dingana tsirairay amin'ny CI/CD pipeline, manomboka amin'ny fananganana kaody ka hatramin'ny fikirakirana kaody commitNy asa s sy ny pull-push dia mitaky fepetra fiarovana henjana. Kaody azo antoka commitno fototry ny pipelines. Ny fampiharana ny famerenana kaody, ny famantarana kaody mampidi-doza, ary ny fanarahana ny torolàlana momba ny fiarovana dia afaka mampihena be ny fahalemena.
Ny asa Pull-push, izay misy fanovana kaody, dia tsy maintsy hamafisina amin'ny alàlan'ny rafitra fanamarinana azo antoka, toy ny fanamarinana multi-factor (MFA), mba hisorohana ny fidirana tsy nahazoana alalana. Ny dingana fananganana ao anatin'ny pipelineTokony hatao ao anaty tontolo mitokana sy azo antoka ny s. Ny fampiasana ireo "secure build agents", ny fanavaozana tsy tapaka ireo fitaovana sy fiankinan-doha amin'ny build, ary ny fiantohana ny fahamarinan'ny fizotran'ny build dia dingana fototra amin'izany.
Ankoatra izany, tena ilaina ny fahamarinan'ny fanamarinana sy ny porofo ao amin'ny rafitra fanavaozana rindrambaiko. Ny fanamarinana ny maha-azo itokiana sy ny fahamarinan'ny fanavaozana rindrambaiko dia miantoka fa tsy ho simba izy ireo mandritra ny dingana fametrahana.
Build Attestations: Ny Mpiambina ny CI/CD Process
Ireo fanamarinana no maherifo tsy fantatra anarana amin'ny fiarovana ny rojo famatsiana rindrambaiko. Ireo fanangonana metadata voamarina ireo, izay novokarin'ny dingana manokana, dia azo hamarinin'ny mpanjifa, ka manome sosona fitokisana sy mangarahara. Rehefa manome laharam-pahamehana ny fiarovana ny rojo famatsiana rindrambaiko ny fikambanana, dia lasa zava-dehibe ny fanangonana metadata mifandraika amin'ny dingana fananganana sy ny famoronana fampiharana.
Ny metadata momba ny dingana fananganana dia manome topimaso momba ireo fitaovana, dikan-teny, firafitra ary fiankinan-doha ampiasaina, izay miasa ho toy ny drafitra ho an'ny fananganana. Toy izany koa, ny metadata momba ny famoronana fampiharana dia manome topimaso momba ny rafitra fampandrosoana, tranomboky ary fiankinan-doha avy amin'ny antoko fahatelo ampiasaina. Ity fanangonana angon-drakitra feno ity dia manolotra fahitana tsy manam-paharoa momba ny niandohan'ny sy ny maha-izy azy ny codebase.
Amin'ny fampiasana ireo fanamarinana sy fanangonana amim-pahazotoana ny metadata, afaka manatsara be dia be ny asany ireo fikambanana software supply chain securityIty fomba fiasa ity dia tsy vitan'ny hoe manome mangarahara sy azo hamarinina fotsiny fa mametraka ny fototra ho an'ny fanaraha-maso, fanaraha-maso ary famakafakana fiarovana mahomby mandritra ny tsingerin'ny fampandrosoana rindrambaiko ihany koa.
Fanamarihana farany sy dingana manaraka
Ny fanadihadiana vao haingana momba ny fahalemena sy ny fanafihana rindrambaiko dia nanasongadina ny ahiahy maika ho an'ireo orinasa mampivelatra rindrambaiko eo ambanin'ny paradigma DevSecOps mavitrika izay mampiasa ny Fampidirana mitohy/Fandefasana mitohy (Continuous Integration/Continuous Delivery).CI/CD) pipelines. Samy mifantoka amin'ireo asa manerana ny firenena na ny fikambanana governemanta na ny sehatra tsy miankina amin'ny fanjakana ankehitriny SDLC, izay antsoina hoe rojo famatsiana rindrambaiko (SSC).
Ny fahamarinan'ny asa tsirairay ao anatin'ny SSC dia zava-dehibe amin'ny fiarovana azy amin'ny ankapobeny. Ny fandrahonana amin'io fahamarinan-toerana io dia mety hipoitra avy amin'ireo mpanao ratsy izay manararaotra ny fahalemena na avy amin'ny tsy fitandremana sy ny tsy fahatomombanana amin'ny fanaraha-maso mandritra ny asa. SDLCNoho ny fahafantarana ny halehiben'ity olana ity, ireo hetsika toy ny Didim-panjakana (EO) 14028, ny Rafitra Fampandrosoana Rindrambaiko Azo Antoka (SSDF) an'ny NIST, ary ireo sehatra fifanakalozan-kevitra isan-karazany momba ny indostria dia niditra lalina momba ny fiarovana ny SSC, mikendry ny hanamafy ny fiarovana ny rindrambaiko rehetra ampiasaina.
Ity fifantohana bebe kokoa ity dia manamafy ny filàna fepetra azo ampiharina mba hampidirana ny antoka fiarovana SSC ao anatin'ny CI/CD pipelinetsy misy olana. Tena ilaina ny fampidirana toy izany ho an'ny fikambanana izay miatrika tsara ny fiarovana SSC rehefa mamolavola sy mametraka fampiharana avy amin'ny rahona izy ireo. Ny fananganana fotodrafitrasa fiarovana SSC matanjaka dia mitaky ny fampidirana ireo zavatra isan-karazany, anisan'izany ny lisitry ny fitaovana rindrambaiko (SBOM) sy rafitra ho an'ny fanamarinana ny singa rindrambaiko. Na dia mbola mivoatra hatrany aza ireo fepetra takiana ireo amin'ny alàlan'ny fiaraha-miasa eo amin'ny sehatra fifanakalozan-kevitry ny governemanta sy ny indostria, dia mbola zava-dehibe amin'ny famolavolana ny hoavin'ny fiarovana SSC izy ireo.
Vonona ny hijery ireo fahasarotan'ny fampidirana SSCS fepetra takiana amin'ny DevOps? Sintomy anio ny lahatsoratra feno an'ny Xygeni. Fantaro ny antsipiriany, ny fomba fanao tsara indrindra, ary ny paikady azo ampiharina mba hanamafisana ny fizotran'ny DevOps-nao. Ampitao amin'ny ekipanao ny fahalalana mba handraisana izany. SSCS miasa tsy misy olana ary mitarika ny lalana mankany amin'ny software supply chain security. Aza adino ny—misintona Ankehitriny.
