DevOps and Compliance and Security

DevOpsと
コンプライアンスとセキュリティ
かめがわかずし(kkamegawa)

自己紹介
personal:
name: かめがわかずし
alias: kkamegawa
community:
MVP: Microsoft MVP for Developer Technologies(2009-)
Users Group: Team Foundation Server Users Group
URL: https://dev.azure.com/tfsug/tfsuginfo
Blog: はてなブログ
URL: https://kkamegawa.hatenablog.jp
devblog radio: https://devblog.connpass.com/

This contents based on 2021/4/21

計画
ビルド
デプロイ
計測
Feedb
ack

デプロイ作業も5W1H
いつ
(When)
だれが
(Who)
どこに
(Where)
どうやって
(How)
なにを
(What)
なぜ
(Why)

ルールに従ったよくある人間系のデプロイ

Azure Web Apps の CI/CD | Microsoft Docs
Azure Web Appsの基本的なCI/CD

自動でできるのは素晴らしいが、その保証は？
日本リージョンだけ使いたい
知らない間にリリース
されていた
セキュリティ
漏れなくしたい

Azureではこんな機能で対応

CI/CDとコンプライアンスとセキュリティ
誤った環境にデプロイさせない
いつデプロイされたか追跡したい
特定の手順をルール化させたい
脆弱性の検査をしたい

Azure PipelinesとPolicyの連携
1. デプロイ時にリソースに定義されている
ポリシーチェック
2. ポリシー満たしていればデプロイ
3. 満たしていなければ拒否

Azure Policyを定義
Azure Policyの概要 | Microsoft Docs
Azure Policyを定
義して、リソースやサ
ブスクリプションに設
定
ポリシーは即時では
なく、一定期間で評価
されるので注意
パイプラインではすぐ
にOKとは判定されな
いみたい

Azure Policyを使用したデプロイ事前チェック
ポリシーチェックOK
（デプロイ実行）
ポリシーチェックNG
（デプロイ停止）

Azure PipelinesとAzure Policy
組み込みタスクはClassic
Releaseのみ
ビルドはYAML, リリースは
Classic Releaseという構
成も可能

あ、このコンテナー
イメージ便利そう！

Azure Pipelinesとコンテナーレジストリー
mcr.microsoft.com
malware.example.com
ghcr.io/xxxxx
アーティファクトのポリシーチェック | Microsoft Docs
Environmentsを使って、特定の許可さ
れたコンテナーレジストリーのイメージ以
外は展開させない
クエリーはRegoという言語で記述可能
最初はテンプレートがあるので、それを使
えばOK

Environmentsでのホワイトリスト定義

Azure Pipelinesの定義
怪しげな身元のイメージ定義したenvironment
mcr.microsoft.com以外のイメージ
は拒否するためデプロイ失敗

これ、一人がパイプラインを作ったら意味なくない？
Service connection参照できるパイプラインを
限定する
デプロイ用のEnvironmentを定義したYAMLテ
ンプレートを用意してビルドと別管理にして、デプ
ロイできる人と分離する
Pull Request駆動

あ、このOSSの
このコードやりた
かったことだ。
ぱっくんちょ

Azure PipelinesとOSSスキャン
YAMLテンプレートに拡張機
能を指定して、ビルドすると、
結果にレポートが表示される
ソースを別サービスに送るか、
どうかはサービス次第
ライセンス非互換があるかも
要チェック

セキュリティスキャン拡張機能
WhiteSource Boltの無料版をインストール
https://marketplace.visualstudio.com/items?itemName=whitesource
.ws-bolt
他にも有料無料合わせて多様な拡張機能があります
https://marketplace.visualstudio.com/search?term=security&target
=AzureDevOps&category=All%20categories&sortBy=Relevance
常時使うならTemplateをenvironmentに指定する

Environmentsでテンプレートを指定

デプロイの記録
ないんだよな

監査ログでリリースイベントを追跡
Azure DevOpsへの保
存は90日
定期的にエクスポートする
必要あり
 Event Grid
 Splunk
 Azure Monitor
 REST API
監査ストリーミングの作成 |
Microsoft Docs

公式機能と定期的なfetch
Logic AppsでAzure DevOpsの監査ログをCosmos DBへ保存する

まとめ
自動化は素晴らしいが、それで「いつやったっけ」と
かならないように記録はとりましょう
かといって人間がやるのは馬鹿らしいので、機械に
やらせましょう（改ざん防止にも○）
「失敗してもシステムで保護されてるから安心」と思
えるように

参考資料と追加資料
テンプレートを使用したセキュリティ
https://docs.microsoft.com/ja-
jp/azure/devops/pipelines/security/templates?WT.mc_id=DOP-MVP-
4039781?view=azure-devops
その他のセキュリティの考慮事項
jp/azure/devops/pipelines/security/misc?WT.mc_id=DOP-MVP-
環境を利用してターゲットにする
jp/azure/devops/pipelines/process/environments?WT.mc_id=DOP-MVP-

DevOps and Compliance and Security

More Related Content

What's hot (20)

Similar to DevOps and Compliance and Security (20)

More from Kazushi Kamegawa (13)

DevOps and Compliance and Security