DevSecOps平台架构组成

目录

一、平台架构概述

1.1 概述

二、DevSecOps平台架构组成内容

2.1 DevSecOps平台的建设目标

2.2 DevSecOps平台架构

2.2.1 平台架构图

2.2.2 平台架构组成

2.2.2.1 黄金管道子系统

2.2.2.1.1 概念解析

2.2.2.1.2 概念来源

2.2.2.1.3 DevSecOps 与软件开发模型的关系

2.2.2.1.3 黄金管道核心流程

2.2.2.1.3.1 黄金管道核心流程图

2.2.2.1.3.2 黄金管道核心流程内容

2.2.2.2 工具链子系统

2.2.2.2.1 概念解析

2.2.2.2.2 安全工具链的分布

2.2.2.2.2.1 安全工具链分布图

2.2.2.2.2.2 安全工具链分布说明

2.2.2.3 周边生态子系统

2.2.2.3.1 概念解析

2.2.2.3.2 周边生态子系统的作用

2.2.2.3.3 周边生态子系统的组成内容

2.2.2.3.4 CMDB在CI/CD中的使用

2.3 总结

---

一、平台架构概述

1.1 概述

既然DevSecOps平台建设的需求来源清楚了，那么，接下来以这些需求为出发点，介绍一个DevSecOps平台的基本架构组成。

二、DevSecOps平台架构组成内容

2.1 DevSecOps平台的建设目标

DevSecOps平台的建设目标是保障DevSecOps体系建设在企业内部的落地，它承载着DevSecOps理念和企业业务目标、组织架构、协作流程等在安全领域的实现，是企业安全管理的作业流水线，也是众多安全工作条理化的纲要。平台作为整个体系中的一部分，其定位首先要满足业务的目标或愿景。

如上图所示，在企业内部，DevSecOps平台充当着原始需求和最终交付之间的管道，兼顾研发过程、安全与平台自身，通过度量指标运营与分析，共同推动企业整体研发效能的持续改进。

2.2 DevSecOps平台架构

2.2.1 平台架构图

基于此平台定位之上，典型的DevSecOps平台架构如下图所示。

2.2.2 平台架构组成

从架构图中可以看出，典型的DevSecOps平台架构一般至少包含3个组成部分，分别为：

2.2.2.1 黄金管道子系统

2.2.2.1.1 概念解析

黄金管道子系统，即研发信息化管道，通常为CI/CD系统，它是整个DevSecOps开展工作的基础，不同的角色依托于此管道之上，开展日常的研发活动，如需求分析、代码开发、编译构建、测试验证、发布部署等。

2.2.2.1.2 概念来源

黄金管道是2018年美国RSAC大会上提出的概念，在技术实现上它对应于CI/CD软件研发流水线。通过管道化流程线，标准化软件研发流程，简化软件开发活动，输出持续、稳定、安全的高质量的软件产品。

2.2.2.1.3 DevSecOps 与软件开发模型的关系

在前面文章内容介绍DevSecOps的核心流程时，曾提其与软件开发模型的关系，如下图所示。

2.2.2.1.3 黄金管道核心流程

2.2.2.1.3.1 黄金管道核心流程图

2.2.2.1.3.2 黄金管道核心流程内容

黄金管道就是基于DevOps持续集成、持续交付、持续部署等核心流程之上的技术实现，从开发阶段开始，到部署阶段结束。它基本涵盖软件研发过程中，占用人力资源最多、花费时间最长、也是最为烦琐的研发环节。在开源技术中，其实现和核心流程如上图所示。

基于这样的黄金管道之上，开发人员可以流程化地完成对需求的编码开发到测试后的发布上线。当有多个开发人员并行开发时，其流程是一致的，当有多个角色参与开发活动时，整体的流程也是一致。

关于黄金管道更多的技术细节将在后续文章为大家详细地介绍。篇幅原因，这里就暂时只是提一下。

2.2.2.2 工具链子系统

2.2.2.2.1 概念解析

工具链子系统，通常是指黄金管道及其流程实现依赖的工具，除了安全工具之外，也包含业界常说的DevOps工具。从架构图中可以看出，这些不同的工具在整个链路上承载着不同的业务功能，起到贯穿管理与技术落地的作用。因其是在整个链路的不同阶段或不同层次，故称为工具链。

2.2.2.2.2 安全工具链的分布

2.2.2.2.2.1 安全工具链分布图

在DevSecOps中，重点强调的是安全工具链。安全工具链依附于黄金管道之上，提供管道流程中各个不同环节的安全活动所需要的安全能力，如下图所示。

2.2.2.2.2.2 安全工具链分布说明

在黄金管道CI/CD这条链路上，聚集着不同的安全工具。例如，静态安全检测SAST和软件成分分析SCA适合在开发和构建阶段集成至CI/CD流水线，动态安全检测DAST和交互式安全检测IAST适合在测试阶段集成至CI/CD流水线。在整个DevSecOps平台中，这样的安全工具很多，它们围绕着黄金管道的主流程，呈链状分布，共同保障整个研发生命周期的安全性。

安全工具链的技术细节这里也不展开多说，后续文章为大家详细地介绍。

2.2.2.3 周边生态子系统

2.2.2.3.1 概念解析

周边生态子系统，这里主要是指研发信息化系统。从DevSecOps理念和平台定位上来看，平台既需要起到加强周边协作的作用，也需要为DevSecOps体系建设的持续改进提供数据分析和决策支撑，所以与DevSecOps流程相关的周边信息化系统也需要纳入大的DevSecOps平台中，完成数据对接与打通，以便各个不同的管理角色了解DevSecOps当前态势和变化趋势。

2.2.2.3.2 周边生态子系统的作用

DevSecOps体系建设在实施与运营过程中，需要依赖周边系统的协作来完成整个研发流程，或者通过周边系统的辅助来提高整体研发效率。

2.2.2.3.3 周边生态子系统的组成内容

在这些周边系统里，与DevSecOps体系尤为密切的系统有项目管理系统、代码仓库、组件仓库、镜像仓库等。它们为黄金管道提供基础数据，为研发活动提供服务支撑，是DevSecOps平台中不可或缺的基础设施。

2.2.2.3.4 CMDB在CI/CD中的使用

这里列举一下周边生态子系统的组成CMDB在CI/CD流程中的使用，如下图所示：

CMDB在CI/CD中为整个流程的数字化提供基础数据支撑。

DevSecOps中涉及的诸多周边生态这里也不作过多说明，后续文章会根据流程的不同，分别为大家详细地介绍。

2.3 总结

黄金管理、工具链、周边生态子系统，他们依托基础仓库，对基础设施资源进行调度和管理，一起组成了整个DevSecOps平台的全部。通过平台向用户提供涵盖规划、编码、构建、测试、发布、部署和维护等研发工作的平台能力，向平台管理者提供平台使用率、平台可用性、漏洞平均检测时间、漏洞平均修复时间、自动化覆盖率等管理数据。

好了，本次内容就分享到这，欢迎大家关注《DevSecOps》专栏，后续会继续输出相关内容文章。如果有帮助到大家，欢迎大家点赞+关注+收藏，有疑问也欢迎大家评论留言！