红帽：打造支持DevSecOps的软件工厂（2023）（20页）.pdf

1、?DevSecOps?DevSecOps?25.04.03.02.01.01借助 DevSecOps 保护您的业务5成功案例2人员、流程和技术至关重要3.1 软件工厂是什么样的？3.2 打造自己的软件工厂3.3 构建、部署、运行3将工厂方法运用于软件交付4.1 部署平台来实现 DevSecOps 成功4.2 利用红帽 OpenShift 平台 Plus 打造软件工厂4在专家助力下实施 DevSecOps目录借助 DevSecOps 保护您的业务 1 Flexera，“2021 技术支出状况报告”，2021 年 1 月。2 红帽，“Kubernetes 安全状况报告”，2021 年。越来越多的企

2、业采用云原生、容器和微服务技术来开展创新和数字化转型。在转型过程中，许多企业利用 Kubernetes 进行容器编排以支持云原生运维。由于 Kubernetes 集群可以跨越本地和云环境中的主机，因此对于托管需要快速扩展和弹性运维的云原生应用来说，Kubernetes 是一个理想的平台。尽管如此，Kubernetes 也带来了新的挑战，尤其是在规模化实施安全性和可管理性方面。事实上，50%的企业 IT 高级主管将网络安全列为技术计划的三大优先事项之一。1采用 DevSecOps 方法和实践可以将安全防护融进应用、流程和平台中，更好地保护您的业务。本电子书探讨了有关借助红帽 OpenShift

3、和其他红帽技术在企业内建立成功的 DevSecOps 实践的注意事项，并提供了相关的指导。5.04.03.02.01.0什么是云原生应用？云原生应用是独立的小规模松散耦合服务的集合，什么是 DevOps 和 DevSecOps？DevOps 是指对企业文化、业务自动化和平台设计等方面进行全方位变革，实现迅捷、自动且优质的服务交付，从而专注于提升企业价值和响应能力。DevSecOps 是对 DevOps 协作文化的进一步扩展，旨在将安全性纳入整个应用周期内。它包含人员、流程和技术，使安全性在分布式环境中更加普及。通过 DevSecOps，安全性成为所有团队共同承担和履行的责任，而不是仅由单个团队

4、负责、直到开发和部署流程行将结束时才完成的一系列任务。安全、开发和运维团队携手合作，共享信息、反馈、经验教训和见解。这种方法允许从开始开发应用和部署基础设施时就集成安全性，以增强保护和降低风险。88%接受调查的企业使用 Kubernetes 作为容器编排器，其中 74%将 Kubernetes 用在生产中。274%接受调查的企业制定了 DevSecOps 计划。21手动流程一旦需要频繁人为介入，开发、测试和安全防护任务就会变得耗时、繁琐、易错，也难以实施。团队之间协作有限开发、安全防护和运维团队通常只在自己的领域内工作，造成流程分散，需要人工交接，并且无法充分了解和理解其他团队的挑战和需求。安

5、全防护流程贯彻不及时传统的应用开发和发布方法只有等到流程收尾时，即部署到生产环境前，才会应用安全防护实践和检查。应用环境错综复杂容器、微服务和云服务等共同构成复杂的大规模应用开发、测试和生产环境，而要理解所有这些不同组件之间的衔接和安全含义颇具挑战性。依赖于外部因素云原生应用开发几乎都离不开一些外部依赖项，如开源代码段、库和服务等，这些外部依赖项也必须得到保护。安全形势不断变化安全威胁和相关法规，如业务、技术和地理位置要求等，不断快速改变，造成难以跟上发展步伐并保持合规。DevSecOps 实施中的挑战稳定5.04.03.02.01.0DevSecOps 的目标DevSecOps 的目标是快速

6、地规模化交付和部署质量出众并以安全为重的应用、服务和功能。扩展速度安全25.04.03.02.01.03DevSecOps 不是一个团队的事，也不是一个单一流程，而是一种涵盖整个企业的能力，需要在三个领域进行变革和调整：人员、流程和技术。人员、流程和技术至关重要人员人员始终是任何企业级计划的核心所在，DevSecOps 也不例外。为了在整个企业中采用 DevSecOps，所有团队（包括开发、安全防护和运维）必须加入、参与并且彼此信任。流程流程让项目从头至尾顺利开展。制定清晰的流程来创建、部署、管理及调整应用和基础架构，并将安全防护纳入整个生命周期，对于广泛采用 DevSecOps 而言至关重要