DevOps vs DevSecOps: ഒരു ബാങ്കിൽ അത് എങ്ങനെ കാണപ്പെട്ടു

ബാങ്ക് അതിന്റെ പ്രോജക്ടുകൾ പല കരാറുകാർക്കും ഔട്ട്സോഴ്സ് ചെയ്യുന്നു. "ബാഹ്യങ്ങൾ" കോഡ് എഴുതുക, തുടർന്ന് ഫലങ്ങൾ വളരെ സൗകര്യപ്രദമല്ലാത്ത രൂപത്തിൽ കൈമാറുക. പ്രത്യേകമായി, ഈ പ്രക്രിയ ഇതുപോലെ കാണപ്പെട്ടു: അവർ അവരോടൊപ്പം ഫംഗ്ഷണൽ ടെസ്റ്റുകൾ വിജയിച്ച ഒരു പ്രോജക്റ്റ് കൈമാറി, തുടർന്ന് സംയോജനം, ലോഡ് മുതലായവയ്ക്കായി ബാങ്കിംഗ് പരിധിക്കുള്ളിൽ പരീക്ഷിച്ചു. പലപ്പോഴും പരിശോധനകൾ പരാജയപ്പെടുന്നതായി കണ്ടെത്തി. തുടർന്ന് എല്ലാം ബാഹ്യ ഡെവലപ്പറിലേക്ക് മടങ്ങി. നിങ്ങൾക്ക് ഊഹിക്കാൻ കഴിയുന്നതുപോലെ, ബഗ് പരിഹരിക്കാനുള്ള ദീർഘമായ സമയമാണ് ഇത് അർത്ഥമാക്കുന്നത്.

കമ്മിറ്റ് മുതൽ റിലീസ് വരെ മുഴുവൻ പൈപ്പ്ലൈനും അതിന്റെ ചിറകിലേക്ക് വലിച്ചിടുന്നത് സാധ്യമാണെന്നും ആവശ്യമാണെന്നും ബാങ്ക് തീരുമാനിച്ചു. അങ്ങനെ എല്ലാം ഏകീകൃതവും ബാങ്കിലെ ഉൽപ്പന്നത്തിന്റെ ഉത്തരവാദിത്തമുള്ള ടീമുകളുടെ നിയന്ത്രണത്തിലുമാണ്. അതായത്, പുറത്തുള്ള കരാറുകാരൻ ഓഫീസിന്റെ അടുത്ത മുറിയിൽ എവിടെയോ ജോലി ചെയ്യുന്നതുപോലെ. കോർപ്പറേറ്റ് സ്റ്റാക്കിൽ. ഇതൊരു സാധാരണ devops ആണ്.

സെക്കന്റ് എവിടെ നിന്ന് വന്നു? ഒരു ബാഹ്യ കോൺട്രാക്ടർക്ക് നെറ്റ്‌വർക്ക് സെഗ്‌മെന്റിൽ എങ്ങനെ പ്രവർത്തിക്കാം, ആർക്കെങ്കിലും എന്ത് ആക്‌സസ്സ് ഉണ്ട്, എങ്ങനെ, ആരാണ് കോഡ് ഉപയോഗിച്ച് പ്രവർത്തിക്കുന്നത് എന്നതിൽ ബാങ്കിന്റെ സുരക്ഷ ഉയർന്ന ആവശ്യങ്ങൾ ഉന്നയിച്ചിട്ടുണ്ട്. കരാറുകാർ പുറത്ത് ജോലി ചെയ്യുമ്പോൾ കുറച്ച് ബാങ്കിംഗ് മാനദണ്ഡങ്ങൾ പാലിക്കുന്നുണ്ടെന്ന് ഐബി ഇതുവരെ അറിഞ്ഞിട്ടില്ലെന്ന് മാത്രം. പിന്നെ രണ്ടു ദിവസത്തിനകം എല്ലാവരും അവരെ നിരീക്ഷിക്കാൻ തുടങ്ങണം.

കരാറുകാരന് ഉൽപ്പന്ന കോഡിലേക്ക് പൂർണ്ണമായ പ്രവേശനമുണ്ടെന്ന ലളിതമായ വെളിപ്പെടുത്തൽ ഇതിനകം തന്നെ അവരുടെ ലോകത്തെ കീഴ്മേൽ മറിച്ചിരുന്നു.

ഈ നിമിഷത്തിൽ, DevSecOps-ന്റെ കഥ ആരംഭിച്ചു, അത് ഞാൻ നിങ്ങളോട് പറയാൻ ആഗ്രഹിക്കുന്നു.

ഈ സാഹചര്യത്തിൽ നിന്ന് എന്ത് പ്രായോഗിക നിഗമനങ്ങളാണ് ബാങ്ക് സ്വീകരിച്ചത്?

എല്ലാം തെറ്റായ രീതിയിലാണ് ചെയ്യുന്നതെന്നത് ഏറെ വിവാദങ്ങൾക്കിടയാക്കിയിരുന്നു. വികസനത്തിൽ ഇടപെടാൻ ശ്രമിക്കുന്ന തിരക്കിലാണ് സുരക്ഷയെന്നും വാച്ചർമാരെപ്പോലെ തങ്ങളും ചിന്തിക്കാതെ നിരോധിക്കാൻ ശ്രമിക്കുന്നുണ്ടെന്നും ഡവലപ്പർമാർ പറഞ്ഞു. “ഡെവലപ്പർമാർ ഞങ്ങളുടെ സർക്യൂട്ടിൽ കേടുപാടുകൾ സൃഷ്ടിക്കുന്നു”, “ഡെവലപ്പർമാർ കേടുപാടുകൾ സൃഷ്ടിക്കുന്നില്ല, മറിച്ച് അവർ സ്വയം തന്നെ” എന്നിങ്ങനെയുള്ള കാഴ്ചപ്പാടുകൾക്കിടയിൽ തിരഞ്ഞെടുക്കുന്നതിന് സുരക്ഷാ വിദഗ്ധർ മടിച്ചു. പുതിയ വിപണി ആവശ്യങ്ങളും DevSecOps മാതൃകയുടെ ആവിർഭാവവും ഇല്ലെങ്കിൽ തർക്കം വളരെക്കാലം തുടരുമായിരുന്നു. "ബോക്‌സിന് പുറത്ത്" വിവര സുരക്ഷാ ആവശ്യകതകൾ കണക്കിലെടുത്ത് പ്രക്രിയകളുടെ ഈ ഓട്ടോമേഷൻ എല്ലാവരേയും സന്തുഷ്ടരായിരിക്കാൻ സഹായിക്കുമെന്ന് വിശദീകരിക്കാൻ കഴിഞ്ഞു. നിയമങ്ങൾ ഉടനടി എഴുതുകയും ഗെയിമിനിടെ മാറാതിരിക്കുകയും ചെയ്യുക എന്ന അർത്ഥത്തിൽ (വിവര സുരക്ഷ അപ്രതീക്ഷിതമായി എന്തെങ്കിലും നിരോധിക്കില്ല), കൂടാതെ സംഭവിക്കുന്ന എല്ലാ കാര്യങ്ങളെയും കുറിച്ച് ഡവലപ്പർമാർ വിവര സുരക്ഷയെ അറിയിക്കുന്നു (വിവര സുരക്ഷ പെട്ടെന്ന് എന്തെങ്കിലും നേരിടുന്നില്ല) . ഓരോ ടീമും ആത്യന്തിക സുരക്ഷയുടെ ഉത്തരവാദിത്തമാണ്, അല്ലാതെ ചില അമൂർത്തമായ മൂത്ത സഹോദരന്മാരല്ല.

1. ബാഹ്യ ജീവനക്കാർക്ക് ഇതിനകം കോഡിലേക്കും നിരവധി ആന്തരിക സംവിധാനങ്ങളിലേക്കും ആക്‌സസ് ഉള്ളതിനാൽ, "വികസനം പൂർണ്ണമായും ബാങ്കിന്റെ അടിസ്ഥാന സൗകര്യങ്ങളിൽ നടപ്പിലാക്കണം" എന്ന ആവശ്യകത രേഖകളിൽ നിന്ന് നീക്കംചെയ്യാൻ സാധ്യതയുണ്ട്.
2. മറുവശത്ത്, എന്താണ് സംഭവിക്കുന്നതെന്ന് നിയന്ത്രണം ശക്തിപ്പെടുത്തേണ്ടതുണ്ട്.
3. ജീവനക്കാർ ബാഹ്യ ആളുകളുമായി അടുത്ത് പ്രവർത്തിക്കുന്ന ക്രോസ്-ഫംഗ്ഷണൽ ടീമുകളുടെ സൃഷ്ടിയായിരുന്നു വിട്ടുവീഴ്ച. ഈ സാഹചര്യത്തിൽ, ബാങ്കിന്റെ സെർവറുകളിലെ ടൂളുകളിൽ ടീം പ്രവർത്തിക്കുന്നുവെന്ന് ഉറപ്പാക്കേണ്ടതുണ്ട്. തുടക്കം മുതൽ അവസാനം വരെ.

അതായത്, കരാറുകാരെ അനുവദിക്കാം, പക്ഷേ അവർക്ക് പ്രത്യേക സെഗ്മെന്റുകൾ നൽകേണ്ടതുണ്ട്. അങ്ങനെ അവർ ബാങ്കിന്റെ ഇൻഫ്രാസ്ട്രക്ചറിലേക്ക് പുറത്തുനിന്ന് ഏതെങ്കിലും തരത്തിലുള്ള അണുബാധ കൊണ്ടുവരാതിരിക്കാനും ആവശ്യമായതിനേക്കാൾ കൂടുതൽ അവർ കാണാതിരിക്കാനും. ശരി, അങ്ങനെ അവരുടെ പ്രവർത്തനങ്ങൾ ലോഗിൻ ചെയ്യപ്പെടും. ചോർച്ചയിൽ നിന്നുള്ള സംരക്ഷണത്തിനായി DLP, ഇതെല്ലാം ഉൾപ്പെടുത്തിയിട്ടുണ്ട്.

തത്വത്തിൽ, എല്ലാ ബാങ്കുകളും എത്രയും വേഗം അല്ലെങ്കിൽ പിന്നീട് ഇതിലേക്ക് വരുന്നു. ഇവിടെ ഞങ്ങൾ അടിച്ച പാതയിലൂടെ ഇറങ്ങി, "ബാഹ്യ" പ്രവർത്തിക്കുന്ന അത്തരം പരിതസ്ഥിതികളുടെ ആവശ്യകതകൾ അംഗീകരിച്ചു. ആക്സസ് കൺട്രോൾ ടൂളുകൾ, അപകടസാധ്യത പരിശോധിക്കുന്നതിനുള്ള ഉപകരണങ്ങൾ, സർക്യൂട്ടുകളിലെ ആന്റി വൈറസ് വിശകലനം, അസംബ്ലികൾ, ടെസ്റ്റുകൾ എന്നിവയുടെ പരമാവധി ശ്രേണി പ്രത്യക്ഷപ്പെട്ടു. ഇതിനെ DevSecOps എന്ന് വിളിക്കുന്നു.

DevSecOps ബാങ്കിംഗ് സെക്യൂരിറ്റിക്ക് മുമ്പ് ഡെവലപ്പറുടെ ഭാഗത്ത് എന്ത് സംഭവിക്കും എന്നതിൽ നിയന്ത്രണമില്ലായിരുന്നുവെങ്കിൽ, പുതിയ മാതൃകയിൽ അടിസ്ഥാന സൗകര്യങ്ങളിലെ സാധാരണ സംഭവങ്ങൾ പോലെ തന്നെ സുരക്ഷയും നിയന്ത്രിക്കപ്പെടുന്നുവെന്ന് പെട്ടെന്ന് വ്യക്തമായി. ഇപ്പോൾ മാത്രമാണ് അസംബ്ലികൾ, ലൈബ്രറികളുടെ നിയന്ത്രണം മുതലായവയിൽ അലേർട്ടുകൾ ഉള്ളത്.

പുതിയ മോഡലിലേക്ക് ടീമുകളെ മാറ്റുക മാത്രമാണ് ഇനി ബാക്കിയുള്ളത്. ശരി, അടിസ്ഥാന സൗകര്യങ്ങൾ സൃഷ്ടിക്കുക. എന്നാൽ ഇവ നിസ്സാരകാര്യങ്ങളാണ്, ഇത് ഒരു മൂങ്ങ വരയ്ക്കുന്നത് പോലെയാണ്. യഥാർത്ഥത്തിൽ, ഞങ്ങൾ അടിസ്ഥാന സൗകര്യങ്ങളിൽ സഹായിച്ചു, ആ സമയത്ത് വികസന പ്രക്രിയകൾ മാറുകയായിരുന്നു.

എന്താണ് മാറിയത്

ചെറിയ ഘട്ടങ്ങളിൽ ഇത് നടപ്പിലാക്കാൻ ഞങ്ങൾ തീരുമാനിച്ചു, കാരണം പല പ്രക്രിയകളും തകരുമെന്ന് ഞങ്ങൾ മനസ്സിലാക്കി, കൂടാതെ എല്ലാവരുടെയും മേൽനോട്ടത്തിൽ പുതിയ തൊഴിൽ സാഹചര്യങ്ങളെ നേരിടാൻ പല "ബാഹ്യ"ക്കാർക്ക് കഴിഞ്ഞേക്കില്ല.

ആദ്യം, ഞങ്ങൾ ക്രോസ്-ഫങ്ഷണൽ ടീമുകൾ സൃഷ്ടിക്കുകയും പുതിയ ആവശ്യകതകൾ കണക്കിലെടുത്ത് പ്രോജക്റ്റുകൾ സംഘടിപ്പിക്കാൻ പഠിക്കുകയും ചെയ്തു. സംഘടനാപരമായ അർത്ഥത്തിൽ ഞങ്ങൾ എന്തൊക്കെ പ്രക്രിയകൾ ചർച്ച ചെയ്തു. ഉത്തരവാദിത്തമുള്ള എല്ലാവരുമായും അസംബ്ലി പൈപ്പ്ലൈനിന്റെ ഒരു ഡയഗ്രം ആയിരുന്നു ഫലം.

• സിഐ: Git, Jenkins, Maven, Roslyn, Gradle, jUnit, Jira, MF Fortify, CA Harvest, GitlabCI.
• സിഡി: അൻസിബിൾ, പപ്പറ്റ്, ടീംസിറ്റി, Gitlab TFS, ലിക്വിഡ്ബേസ്.
• പരിശോധന: Sonarqube, SoapUI, jMeter, Selenium: MF Fortify, Performance Centre, MF UFT, Ataccama.
• അവതരണം (റിപ്പോർട്ടിംഗ്, ആശയവിനിമയം): ഗ്രാഫാന, കിബാന, ജിറ, സംഗമം, റോക്കറ്റ്ചാറ്റ്.
• പ്രവർത്തനങ്ങൾ (പരിപാലനം, മാനേജ്മെന്റ്): അൻസിബിൾ, സാബിക്സ്, പ്രൊമിത്യൂസ്, ഇലാസ്റ്റിക് + ലോഗ്സ്റ്റാഷ്, എംഎഫ് സർവീസ് മാനേജർ, ജിറ, കൺഫ്ലൂയൻസ്, എംഎസ് പ്രോജക്റ്റ്.

തിരഞ്ഞെടുത്ത ശേഖരം:

• വിജ്ഞാന അടിത്തറ - അറ്റ്ലാസിയൻ സംഗമം;
• ടാസ്ക് ട്രാക്കർ - അറ്റ്ലാസിയൻ ജിറ;
• ആർട്ടിഫാക്റ്റ് റിപ്പോസിറ്ററി - "നെക്സസ്";
• തുടർച്ചയായ സംയോജന സംവിധാനം - "Gitlab CI";
• തുടർച്ചയായ വിശകലന സംവിധാനം - "SonarQube";
• ആപ്ലിക്കേഷൻ സുരക്ഷാ വിശകലന സംവിധാനം - "മൈക്രോ ഫോക്കസ് ഫോർട്ടിഫൈ";
• ആശയവിനിമയ സംവിധാനം - "GitLab Mattermost";
• കോൺഫിഗറേഷൻ മാനേജ്മെന്റ് സിസ്റ്റം - "അൻസിബിൾ";
• മോണിറ്ററിംഗ് സിസ്റ്റം - "ELK", "TICK Stack" ("InfluxData").

കരാറുകാരെ അകത്തേക്ക് വലിച്ചിഴക്കാൻ തയ്യാറുള്ള ഒരു ടീമിനെ അവർ സൃഷ്ടിക്കാൻ തുടങ്ങി. നിരവധി പ്രധാന കാര്യങ്ങൾ ഉണ്ടെന്ന് ഒരു തിരിച്ചറിവുണ്ട്:

• കോഡ് കൈമാറുമ്പോഴെങ്കിലും എല്ലാം ഏകീകരിക്കണം. കാരണം, അവരുടേതായ പ്രത്യേകതകളുള്ള നിരവധി വ്യത്യസ്ത വികസന പ്രക്രിയകൾ ഉണ്ടായിരുന്നതുപോലെ നിരവധി കരാറുകാരും ഉണ്ടായിരുന്നു. എല്ലാവരേയും ഏകദേശം ഒന്നായി യോജിപ്പിക്കേണ്ടത് ആവശ്യമാണ്, പക്ഷേ ഓപ്ഷനുകൾ.
• നിരവധി കരാറുകാരുണ്ട്, അടിസ്ഥാന സൗകര്യങ്ങൾ സ്വമേധയാ സൃഷ്ടിക്കുന്നത് അനുയോജ്യമല്ല. ഏതൊരു പുതിയ ജോലിയും വളരെ വേഗത്തിൽ ആരംഭിക്കണം - അതായത്, ഉദാഹരണം ഏതാണ്ട് തൽക്ഷണം വിന്യസിക്കണം, അതുവഴി ഡവലപ്പർമാർക്ക് അവരുടെ പൈപ്പ്ലൈൻ കൈകാര്യം ചെയ്യുന്നതിനുള്ള ഒരു കൂട്ടം പരിഹാരങ്ങളുണ്ട്.

ആദ്യപടി സ്വീകരിക്കാൻ, എന്താണ് ചെയ്യുന്നതെന്ന് മനസിലാക്കേണ്ടത് ആവശ്യമാണ്. അവിടെ എങ്ങനെ എത്തിച്ചേരണമെന്ന് ഞങ്ങൾ തീരുമാനിക്കേണ്ടതുണ്ട്. ഇൻഫ്രാസ്ട്രക്ചറിലും സിഐ/സിഡി ഓട്ടോമേഷനിലും ടാർഗെറ്റ് സൊല്യൂഷന്റെ ആർക്കിടെക്ചർ വരയ്ക്കാൻ സഹായിച്ചുകൊണ്ടാണ് ഞങ്ങൾ ആരംഭിച്ചത്. തുടർന്ന് ഞങ്ങൾ ഈ കൺവെയർ കൂട്ടിച്ചേർക്കാൻ തുടങ്ങി. ഞങ്ങൾക്ക് ഒരു ഇൻഫ്രാസ്ട്രക്ചർ ആവശ്യമാണ്, എല്ലാവർക്കും ഒരേപോലെ, ഒരേ കൺവെയറുകൾ പ്രവർത്തിക്കും. ഞങ്ങൾ കണക്കുകൂട്ടലുകളുള്ള ഓപ്ഷനുകൾ വാഗ്ദാനം ചെയ്തു, ബാങ്ക് ചിന്തിച്ചു, പിന്നെ എന്ത് നിർമ്മിക്കണം, എന്ത് ഫണ്ടുകൾ ഉപയോഗിച്ച് തീരുമാനിക്കും.

അടുത്തത് സർക്യൂട്ടിന്റെ സൃഷ്ടിയാണ് - സോഫ്റ്റ്വെയറിന്റെ ഇൻസ്റ്റാളേഷൻ, കോൺഫിഗറേഷൻ. ഇൻഫ്രാസ്ട്രക്ചർ വിന്യാസത്തിനും മാനേജ്മെന്റിനുമുള്ള സ്ക്രിപ്റ്റുകളുടെ വികസനം. അടുത്തതായി കൺവെയർ പിന്തുണയിലേക്കുള്ള മാറ്റം വരുന്നു.

പൈലറ്റിൽ എല്ലാം പരീക്ഷിക്കാൻ ഞങ്ങൾ തീരുമാനിച്ചു. രസകരമെന്നു പറയട്ടെ, പൈലറ്റിംഗ് സമയത്ത്, ഒരു പ്രത്യേക സ്റ്റാക്ക് ആദ്യമായി ബാങ്കിൽ പ്രത്യക്ഷപ്പെട്ടു. മറ്റ് കാര്യങ്ങൾക്കൊപ്പം, വേഗത്തിലുള്ള വിക്ഷേപണത്തിനായി പൈലറ്റിന്റെ പരിധിക്കായി പരിഹാരങ്ങളിലൊന്നിന്റെ ആഭ്യന്തര വിൽപ്പനക്കാരനെ വാഗ്ദാനം ചെയ്തു. അവൻ പൈലറ്റ് ചെയ്യുമ്പോൾ സെക്യൂരിറ്റിക്ക് അവനെ പരിചയപ്പെട്ടു, അത് അവിസ്മരണീയമായ ഒരു മതിപ്പ് അവശേഷിപ്പിച്ചു. ഞങ്ങൾ മാറാൻ തീരുമാനിച്ചപ്പോൾ, ഭാഗ്യവശാൽ, ഇൻഫ്രാസ്ട്രക്ചർ ലെയർ ഒരു Nutanix പരിഹാരം ഉപയോഗിച്ച് മാറ്റിസ്ഥാപിച്ചു, അത് മുമ്പ് ബാങ്കിൽ ഉണ്ടായിരുന്നു. മാത്രമല്ല, അതിനുമുമ്പ് ഇത് വിഡിഐക്കുള്ളതായിരുന്നു, പക്ഷേ ഞങ്ങൾ അത് ഇൻഫ്രാസ്ട്രക്ചർ സേവനങ്ങൾക്കായി വീണ്ടും ഉപയോഗിച്ചു. ചെറിയ വോള്യങ്ങളിൽ ഇത് സമ്പദ്‌വ്യവസ്ഥയുമായി പൊരുത്തപ്പെടുന്നില്ല, പക്ഷേ വലിയ അളവുകളിൽ ഇത് വികസനത്തിനും പരിശോധനയ്ക്കും മികച്ച അന്തരീക്ഷമായി മാറി.

ബാക്കിയുള്ള സ്റ്റാക്ക് എല്ലാവർക്കും ഏറെക്കുറെ പരിചിതമാണ്. അൻസിബിളിലെ ഓട്ടോമേഷൻ ടൂളുകൾ ഉപയോഗിച്ചു, സുരക്ഷാ വിദഗ്ധർ അവരുമായി അടുത്ത് പ്രവർത്തിച്ചു. പദ്ധതിക്ക് മുമ്പ് അറ്റ്ലാസിൻ സ്റ്റാക്ക് ബാങ്ക് ഉപയോഗിച്ചിരുന്നു. ഫോർട്ടിനെറ്റ് സുരക്ഷാ ഉപകരണങ്ങൾ - ഇത് സുരക്ഷാ ആളുകൾ തന്നെ നിർദ്ദേശിച്ചതാണ്. ബാങ്കാണ് ടെസ്റ്റിംഗ് ഫ്രെയിം സൃഷ്ടിച്ചത്, ചോദ്യങ്ങളൊന്നും ചോദിച്ചില്ല. റിപ്പോസിറ്ററി സിസ്റ്റം ചോദ്യങ്ങൾ ഉയർത്തി; എനിക്ക് അത് ഉപയോഗിക്കേണ്ടി വന്നു.

കരാറുകാർക്ക് പുതിയ സ്റ്റാക്ക് നൽകി. ഗിറ്റ്‌ലാബ്‌സിഐയ്‌ക്കായി അത് മാറ്റിയെഴുതാനും ജിറയെ ബാങ്കിംഗ് സെഗ്‌മെന്റിലേക്ക് മൈഗ്രേറ്റ് ചെയ്യാനും അവർ ഞങ്ങൾക്ക് സമയം നൽകി.

പടി പടിയായി

സ്റ്റേജ് 1. ആദ്യം, ഞങ്ങൾ ഒരു ഗാർഹിക വെണ്ടറിൽ നിന്നുള്ള ഒരു പരിഹാരം ഉപയോഗിച്ചു, ഉൽപ്പന്നം ഒരു പുതിയ സൃഷ്ടിച്ച DSO നെറ്റ്‌വർക്ക് സെഗ്‌മെന്റിലേക്ക് കണക്റ്റുചെയ്‌തു. പ്ലാറ്റ്ഫോം അതിന്റെ ഡെലിവറി സമയം, സ്കെയിലിംഗ് ഫ്ലെക്സിബിലിറ്റി, പൂർണ്ണ ഓട്ടോമേഷൻ സാധ്യത എന്നിവയ്ക്കായി തിരഞ്ഞെടുത്തു. നടത്തിയ പരിശോധനകൾ:

• വിർച്ച്വലൈസേഷൻ പ്ലാറ്റ്ഫോം ഇൻഫ്രാസ്ട്രക്ചറിന്റെ (നെറ്റ്വർക്ക്, ഡിസ്ക് സബ്സിസ്റ്റം, കമ്പ്യൂട്ടിംഗ് റിസോഴ്സ് സബ്സിസ്റ്റം) വഴക്കമുള്ളതും പൂർണ്ണമായും ഓട്ടോമേറ്റഡ് മാനേജ്മെന്റിനുള്ള സാധ്യത.
• വെർച്വൽ മെഷീൻ ലൈഫ് സൈക്കിൾ മാനേജ്മെന്റിന്റെ ഓട്ടോമേഷൻ (ടെംപ്ലേറ്റിംഗ്, സ്നാപ്പ്ഷോട്ടുകൾ, ബാക്കപ്പുകൾ).

പ്ലാറ്റ്‌ഫോമിന്റെ ഇൻസ്റ്റാളേഷനും അടിസ്ഥാന കോൺഫിഗറേഷനും ശേഷം, ഇത് രണ്ടാം ഘട്ട സബ്സിസ്റ്റങ്ങളുടെ (DSO ടൂളുകൾ, റീട്ടെയിൽ സിസ്റ്റംസ് ഡെവലപ്‌മെന്റ് ഔട്ട്‌ലൈനുകൾ) പ്ലേസ്‌മെന്റ് പോയിന്റായി ഉപയോഗിച്ചു. ആവശ്യമായ പൈപ്പ്ലൈനുകൾ സൃഷ്ടിച്ചു - സൃഷ്ടിക്കൽ, ഇല്ലാതാക്കൽ, പരിഷ്ക്കരണം, വെർച്വൽ മെഷീനുകളുടെ ബാക്കപ്പ്. ഈ പൈപ്പ് ലൈനുകൾ വിന്യാസ പ്രക്രിയയുടെ ആദ്യ ഘട്ടമായി ഉപയോഗിച്ചു.

നൽകിയ ഉപകരണങ്ങൾ പ്രകടനത്തിനും തെറ്റ് സഹിഷ്ണുതയ്ക്കും ബാങ്കിന്റെ ആവശ്യകതകൾ നിറവേറ്റുന്നില്ല എന്നതാണ് ഫലം. Nutanix സോഫ്റ്റ്‌വെയർ പാക്കേജിനെ അടിസ്ഥാനമാക്കി ഒരു സമുച്ചയം സൃഷ്ടിക്കാൻ ബാങ്കിന്റെ DIT തീരുമാനിച്ചു.

സ്റ്റേജ് 2. ഞങ്ങൾ നിർവ്വചിച്ച സ്റ്റാക്ക് എടുത്ത്, എല്ലാ സബ്സിസ്റ്റങ്ങൾക്കുമായി ഓട്ടോമേറ്റഡ് ഇൻസ്റ്റാളേഷനും പോസ്റ്റ്-കോൺഫിഗറേഷൻ സ്ക്രിപ്റ്റുകളും എഴുതി, അങ്ങനെ എല്ലാം പൈലറ്റിൽ നിന്ന് ടാർഗെറ്റ് സർക്യൂട്ടിലേക്ക് എത്രയും വേഗം കൈമാറ്റം ചെയ്യപ്പെടും. എല്ലാ സിസ്റ്റങ്ങളും ഒരു തകരാർ-സഹിഷ്ണുതയുള്ള കോൺഫിഗറേഷനിൽ വിന്യസിച്ചിരിക്കുന്നു (ഇവിടെ ഈ കഴിവ് വെണ്ടറുടെ ലൈസൻസിംഗ് നയങ്ങളാൽ പരിമിതപ്പെടുത്തിയിട്ടില്ല) കൂടാതെ മെട്രിക്സുകളിലേക്കും ഇവന്റ് കളക്ഷൻ സബ്സിസ്റ്റങ്ങളിലേക്കും ബന്ധിപ്പിച്ചിരിക്കുന്നു. IB അതിന്റെ ആവശ്യകതകൾ പാലിക്കുന്നത് വിശകലനം ചെയ്യുകയും പച്ചക്കൊടി കാണിക്കുകയും ചെയ്തു.

സ്റ്റേജ് 3. എല്ലാ സബ്സിസ്റ്റങ്ങളുടെയും അവയുടെ ക്രമീകരണങ്ങളുടെയും മൈഗ്രേഷൻ പുതിയ PAC ലേക്ക്. ഇൻഫ്രാസ്ട്രക്ചർ ഓട്ടോമേഷൻ സ്ക്രിപ്റ്റുകൾ മാറ്റിയെഴുതി, DSO സബ്സിസ്റ്റങ്ങളുടെ മൈഗ്രേഷൻ പൂർണ്ണമായും ഓട്ടോമേറ്റഡ് മോഡിൽ പൂർത്തിയാക്കി. ഐപി വികസനത്തിന്റെ രൂപരേഖകൾ വികസന ടീമുകളുടെ പൈപ്പ് ലൈനുകൾ പുനർനിർമ്മിച്ചു.

സ്റ്റേജ് 4. ആപ്ലിക്കേഷൻ സോഫ്റ്റ്വെയർ ഇൻസ്റ്റാളേഷന്റെ ഓട്ടോമേഷൻ. പുതിയ ടീമുകളുടെ ടീം ലീഡുകളാണ് ഈ ടാസ്‌ക്കുകൾ സജ്ജമാക്കിയത്.

സ്റ്റേജ് 5. ചൂഷണം.

വിദൂര ആക്സസ്

സർക്യൂട്ടുമായി പ്രവർത്തിക്കുന്നതിന് ഡെവലപ്‌മെന്റ് ടീമുകൾ പരമാവധി വഴക്കം ആവശ്യപ്പെട്ടു, കൂടാതെ വ്യക്തിഗത ലാപ്‌ടോപ്പുകളിൽ നിന്നുള്ള വിദൂര ആക്‌സസ്സിന്റെ ആവശ്യകത പ്രോജക്റ്റിന്റെ തുടക്കത്തിൽ തന്നെ ഉയർന്നു. ബാങ്കിന് ഇതിനകം വിദൂര ആക്‌സസ് ഉണ്ടായിരുന്നു, പക്ഷേ അത് ഡെവലപ്പർമാർക്ക് അനുയോജ്യമല്ല. സംരക്ഷിത വിഡിഐയിലേക്കുള്ള ഉപയോക്താവിന്റെ കണക്ഷൻ സ്കീം ഉപയോഗിച്ചു എന്നതാണ് വസ്തുത. ജോലിസ്ഥലത്ത് തപാലും ഓഫീസ് പാക്കേജും മാത്രം ആവശ്യമുള്ളവർക്ക് ഇത് അനുയോജ്യമാണ്. ഡെവലപ്പർമാർക്ക് കനത്ത ക്ലയന്റുകളും ഉയർന്ന പ്രകടനവും ധാരാളം വിഭവങ്ങളും ആവശ്യമാണ്. VStudio (ഉദാഹരണത്തിന്) അല്ലെങ്കിൽ മറ്റ് SDK എന്നിവയ്‌ക്കൊപ്പം പ്രവർത്തിക്കുന്നവർക്ക് ഉപയോക്തൃ സെഷൻ നഷ്ടപ്പെടുന്നത് അസ്വീകാര്യമായതിനാൽ തീർച്ചയായും അവ നിശ്ചലമായിരിക്കണം. എല്ലാ ഡെവലപ്‌മെന്റ് ടീമുകൾക്കുമായി ധാരാളം കട്ടിയുള്ള സ്റ്റാറ്റിക് വിഡിഐകൾ സംഘടിപ്പിക്കുന്നത് നിലവിലുള്ള വിഡിഐ സൊല്യൂഷന്റെ വില വളരെയധികം വർദ്ധിപ്പിച്ചു.

വികസന വിഭാഗത്തിന്റെ ഉറവിടങ്ങളിലേക്ക് നേരിട്ട് റിമോട്ട് ആക്‌സസിൽ പ്രവർത്തിക്കാൻ ഞങ്ങൾ തീരുമാനിച്ചു. ജിറ, വിക്കി, ഗിറ്റ്‌ലാബ്, നെക്സസ്, ബെഞ്ചുകൾ നിർമ്മിക്കുകയും പരീക്ഷിക്കുകയും ചെയ്യുക, വെർച്വൽ ഇൻഫ്രാസ്ട്രക്ചർ. താഴെ പറയുന്ന കാര്യങ്ങൾക്ക് വിധേയമായി മാത്രമേ പ്രവേശനം നൽകാവൂ എന്ന് സെക്യൂരിറ്റി ഗാർഡുകൾ ആവശ്യപ്പെട്ടിട്ടുണ്ട്:

1. ബാങ്കിൽ ഇതിനകം ലഭ്യമായ സാങ്കേതിക വിദ്യകൾ ഉപയോഗിക്കുന്നു.
2. ഉൽപ്പാദനക്ഷമമായ അക്കൗണ്ട് ഒബ്ജക്റ്റുകളുടെ രേഖകൾ സൂക്ഷിക്കുന്ന നിലവിലുള്ള ഡൊമെയ്ൻ കൺട്രോളറുകൾ ഇൻഫ്രാസ്ട്രക്ചർ ഉപയോഗിക്കരുത്.
3. ഒരു നിർദ്ദിഷ്‌ട ടീമിന് ആവശ്യമായ ഉറവിടങ്ങളിലേക്ക് മാത്രം ആക്‌സസ് പരിമിതപ്പെടുത്തണം (അതിനാൽ ഒരു ഉൽപ്പന്ന ടീമിന് മറ്റൊരു ടീമിന്റെ ഉറവിടങ്ങൾ ആക്‌സസ് ചെയ്യാൻ കഴിയില്ല).
4. സിസ്റ്റങ്ങളിൽ RBAC-യിൽ പരമാവധി നിയന്ത്രണം.

തൽഫലമായി, ഈ സെഗ്‌മെന്റിനായി ഒരു പ്രത്യേക ഡൊമെയ്‌ൻ സൃഷ്‌ടിച്ചു. ഉപയോക്തൃ ക്രെഡൻഷ്യലുകളും ഇൻഫ്രാസ്ട്രക്ചറും ഈ ഡൊമെയ്‌നിൽ എല്ലാ വികസന സെഗ്‌മെന്റ് ഉറവിടങ്ങളും ഉണ്ടായിരുന്നു. ഈ ഡൊമെയ്‌നിലെ റെക്കോർഡുകളുടെ ജീവിത ചക്രം നിയന്ത്രിക്കുന്നത് ബാങ്കിൽ നിലവിലുള്ള IdM ഉപയോഗിച്ചാണ്.

ബാങ്കിന്റെ നിലവിലുള്ള ഉപകരണങ്ങളുടെ അടിസ്ഥാനത്തിൽ നേരിട്ടുള്ള റിമോട്ട് ആക്സസ് സംഘടിപ്പിച്ചു. ആക്‌സസ് നിയന്ത്രണം എഡി ഗ്രൂപ്പുകളായി വിഭജിച്ചു, അവയ്ക്ക് സന്ദർഭങ്ങളിലെ നിയമങ്ങൾ പൊരുത്തപ്പെടുന്നു (ഒരു ഉൽപ്പന്ന ഗ്രൂപ്പ് = ഒരു ഗ്രൂപ്പ് നിയമങ്ങൾ).

വിഎം ടെംപ്ലേറ്റ് മാനേജ്മെന്റ്

ഒരു അസംബ്ലിയും ടെസ്റ്റിംഗ് ലൂപ്പും സൃഷ്ടിക്കുന്നതിനുള്ള വേഗത വികസന യൂണിറ്റിന്റെ തലവൻ സജ്ജമാക്കിയ പ്രധാന കെപിഐകളിൽ ഒന്നാണ്, കാരണം പരിസ്ഥിതി തയ്യാറാക്കുന്നതിനുള്ള വേഗത പൈപ്പ്ലൈനിന്റെ മൊത്തത്തിലുള്ള എക്സിക്യൂഷൻ സമയത്തെ നേരിട്ട് ബാധിക്കുന്നു. അടിസ്ഥാന വിഎം ഇമേജുകൾ തയ്യാറാക്കുന്നതിനുള്ള രണ്ട് ഓപ്ഷനുകൾ പരിഗണിച്ചു. ആദ്യത്തേത് ഏറ്റവും കുറഞ്ഞ ഇമേജ് വലുപ്പങ്ങൾ, എല്ലാ സിസ്റ്റം ഉൽപ്പന്നങ്ങൾക്കും ഡിഫോൾട്ട്, ക്രമീകരണങ്ങൾ സംബന്ധിച്ച ബാങ്കിന്റെ നയങ്ങൾ പരമാവധി പാലിക്കൽ എന്നിവയാണ്. രണ്ടാമത്തേത് അടിസ്ഥാന ഇമേജാണ്, അതിൽ ഒരു ഹെവി-ഡ്യൂട്ടി POPPO ഇൻസ്റ്റാൾ ചെയ്തിട്ടുണ്ട്, ഇതിന്റെ ഇൻസ്റ്റാളേഷൻ സമയം പൈപ്പ്ലൈനിന്റെ എക്സിക്യൂഷൻ വേഗതയെ വളരെയധികം സ്വാധീനിക്കും.

വികസന സമയത്ത് ഇൻഫ്രാസ്ട്രക്ചറും സുരക്ഷാ ആവശ്യകതകളും കണക്കിലെടുക്കുന്നു - ചിത്രങ്ങൾ കാലികമായി സൂക്ഷിക്കൽ (പാച്ചുകൾ മുതലായവ), SIEM-മായി സംയോജിപ്പിക്കൽ, ബാങ്ക് മാനദണ്ഡങ്ങൾക്കനുസൃതമായ സുരക്ഷാ ക്രമീകരണങ്ങൾ.

തൽഫലമായി, അവ കാലികമായി സൂക്ഷിക്കുന്നതിനുള്ള ചെലവ് കുറയ്ക്കുന്നതിന് ഏറ്റവും കുറഞ്ഞ ചിത്രങ്ങൾ ഉപയോഗിക്കാൻ തീരുമാനിച്ചു. POPPO-യുടെ പുതിയ പതിപ്പുകൾക്കായി ഓരോ ചിത്രവും പാച്ച് ചെയ്യുന്നതിനേക്കാൾ അടിസ്ഥാന OS അപ്ഡേറ്റ് ചെയ്യുന്നത് വളരെ എളുപ്പമാണ്.

ഫലങ്ങളെ അടിസ്ഥാനമാക്കി, ആവശ്യമായ ഏറ്റവും കുറഞ്ഞ ഓപ്പറേറ്റിംഗ് സിസ്റ്റങ്ങളുടെ ഒരു ലിസ്റ്റ് രൂപീകരിച്ചു, അതിന്റെ അപ്‌ഡേറ്റ് ഓപ്പറേഷൻസ് ടീമാണ് നടത്തുന്നത്, കൂടാതെ പൈപ്പ്ലൈനിൽ നിന്നുള്ള സ്ക്രിപ്റ്റുകൾ സോഫ്റ്റ്വെയർ അപ്‌ഡേറ്റ് ചെയ്യുന്നതിന് പൂർണ്ണമായും ഉത്തരവാദികളാണ്, ആവശ്യമെങ്കിൽ പതിപ്പ് മാറ്റുക. ഇൻസ്റ്റാൾ ചെയ്ത സോഫ്റ്റ്‌വെയറിന്റെ - ആവശ്യമായ ടാഗ് പൈപ്പ് ലൈനിലേക്ക് മാറ്റുക. അതെ, ഇതിന് devops ഉൽപ്പന്ന ടീമിന് കൂടുതൽ സങ്കീർണ്ണമായ വിന്യാസ സാഹചര്യങ്ങൾ ആവശ്യമാണ്, എന്നാൽ ഇത് അടിസ്ഥാന ഇമേജുകളെ പിന്തുണയ്ക്കുന്നതിന് ആവശ്യമായ പ്രവർത്തന സമയം വളരെ കുറയ്ക്കുന്നു, അല്ലാത്തപക്ഷം പരിപാലിക്കാൻ നൂറിലധികം അടിസ്ഥാന VM ഇമേജുകൾ ആവശ്യമായി വന്നേക്കാം.

ഇന്റർനെറ്റിലേക്കുള്ള പ്രവേശനം

വികസന പരിതസ്ഥിതിയിൽ നിന്നുള്ള ഇന്റർനെറ്റ് ഉറവിടങ്ങളിലേക്കുള്ള പ്രവേശനമായിരുന്നു ബാങ്കിംഗ് സുരക്ഷയുടെ മറ്റൊരു തടസ്സം. കൂടാതെ, ഈ പ്രവേശനത്തെ രണ്ട് വിഭാഗങ്ങളായി തിരിക്കാം:

1. ഇൻഫ്രാസ്ട്രക്ചർ ആക്സസ്.
2. ഡെവലപ്പർ ആക്സസ്.

Nexus-നൊപ്പം ബാഹ്യ ശേഖരണങ്ങൾ പ്രോക്‌സി ചെയ്തുകൊണ്ടാണ് ഇൻഫ്രാസ്ട്രക്ചർ ആക്‌സസ് സംഘടിപ്പിച്ചത്. അതായത്, വെർച്വൽ മെഷീനുകളിൽ നിന്നുള്ള നേരിട്ടുള്ള പ്രവേശനം നൽകിയിട്ടില്ല. ഇത് വിവര സുരക്ഷയുമായി ഒരു വിട്ടുവീഴ്ച സാധ്യമാക്കി, അത് വികസന വിഭാഗത്തിൽ നിന്ന് പുറം ലോകത്തേക്ക് പ്രവേശനം നൽകുന്നതിന് എതിരായിരുന്നു.

വ്യക്തമായ കാരണങ്ങളാൽ ഡവലപ്പർമാർക്ക് ഇന്റർനെറ്റ് ആക്സസ് ആവശ്യമായിരുന്നു (സ്റ്റാക്ക്ഓവർഫ്ലോ). മുകളിൽ സൂചിപ്പിച്ചതുപോലെ, എല്ലാ കമാൻഡുകൾക്കും സർക്യൂട്ടിലേക്ക് റിമോട്ട് ആക്‌സസ് ഉണ്ടെങ്കിലും, IDE-യിലെ ബാങ്കിലെ ഡെവലപ്പറുടെ ജോലിസ്ഥലത്ത് നിന്ന് നിങ്ങൾക്ക് ctrl+v ചെയ്യാൻ കഴിയാത്തപ്പോൾ ഇത് എല്ലായ്പ്പോഴും സൗകര്യപ്രദമല്ല.

തുടക്കത്തിൽ, പരീക്ഷണ ഘട്ടത്തിൽ, വൈറ്റ്-ലിസ്റ്റ് അടിസ്ഥാനമാക്കിയുള്ള ഒരു ബാങ്കിംഗ് പ്രോക്സി വഴി പ്രവേശനം നൽകുമെന്ന് ഐഎസുമായി ധാരണയിലെത്തി. പദ്ധതി പൂർത്തിയാകുമ്പോൾ, ആക്സസ് ബ്ലാക്ക് ലിസ്റ്റിലേക്ക് മാറ്റും. പ്രോജക്റ്റിന്റെ തുടക്കത്തിൽ ആക്സസ് ആവശ്യമായ പ്രധാന ഉറവിടങ്ങളും ശേഖരണങ്ങളും സൂചിപ്പിക്കുന്ന വലിയ ആക്സസ് ടേബിളുകൾ തയ്യാറാക്കി. ഈ ആക്‌സസുകൾ ഏകോപിപ്പിക്കുന്നതിന് ന്യായമായ സമയമെടുത്തു, ഇത് ബ്ലാക്ക്‌ലിസ്റ്റുകളിലേക്ക് സാധ്യമായ ഏറ്റവും വേഗത്തിലുള്ള പരിവർത്തനം നിർബന്ധമാക്കുന്നത് സാധ്യമാക്കി.

ഫലങ്ങൾ

ഒരു വർഷം മുമ്പ് പദ്ധതി അവസാനിച്ചു. വിചിത്രമെന്നു പറയട്ടെ, എല്ലാ കരാറുകാരും കൃത്യസമയത്ത് പുതിയ സ്റ്റാക്കിലേക്ക് മാറി, പുതിയ ഓട്ടോമേഷൻ കാരണം ആരും വിട്ടുപോയില്ല. പോസിറ്റീവ് ഫീഡ്‌ബാക്ക് പങ്കിടാൻ IB തിടുക്കം കാണിക്കുന്നില്ല, പക്ഷേ പരാതിപ്പെടുന്നില്ല, അതിൽ നിന്ന് അവർക്ക് ഇത് ഇഷ്ടമാണെന്ന് നമുക്ക് നിഗമനം ചെയ്യാം. വിവര സുരക്ഷ വീണ്ടും നിയന്ത്രണത്തിലാണെന്ന് തോന്നുന്നതിനാൽ വൈരുദ്ധ്യങ്ങൾ ശമിച്ചു, പക്ഷേ വികസന പ്രക്രിയകളിൽ ഇടപെടുന്നില്ല. ടീമുകൾക്ക് കൂടുതൽ ഉത്തരവാദിത്തം നൽകി, വിവര സുരക്ഷയോടുള്ള മൊത്തത്തിലുള്ള മനോഭാവം മെച്ചപ്പെട്ടു. DevSecOps-ലേക്കുള്ള മാറ്റം ഏറെക്കുറെ അനിവാര്യമാണെന്ന് ബാങ്ക് മനസ്സിലാക്കി, എന്റെ അഭിപ്രായത്തിൽ, ഏറ്റവും സൗമ്യവും ശരിയായതുമായ രീതിയിൽ അത് ചെയ്തു.

അലക്സാണ്ടർ ഷുബിൻ, സിസ്റ്റം ആർക്കിടെക്റ്റ്.

അവലംബം: www.habr.com