在數(shù)字化的今天,無論是醫(yī)院、銀行、商超,還是工廠、地產(chǎn)、互聯(lián)網(wǎng)企業(yè),數(shù)據(jù)都已是各行各業(yè)的核心資產(chǎn),數(shù)字安全勢必成為發(fā)展路上邁出的第一步。上海派拉軟件股份有限公司(簡稱:派拉軟件)作為國內(nèi)一家深耕安全領(lǐng)域 14 年的零信任安全領(lǐng)導(dǎo)者,守護(hù)了上千家企業(yè)和機(jī)構(gòu)的數(shù)字安全,成為了與萬千企業(yè)同行的安全衛(wèi)士,而這一切都離不開日益精進(jìn)的 “安全武器” ——DevOps。
派拉軟件與 DevOps 緣來已久。最初,派拉軟件使用 SVN 進(jìn)行代碼管理。因為無法滿足版本管理、分支管理等需求,2016 年從 SVN 切換到了 Git,選擇了 GitLab 社區(qū)版(CE)進(jìn)行源代碼管理。隨著團(tuán)隊發(fā)展壯大,產(chǎn)品線日益豐富,新的問題逐步顯現(xiàn),例如研發(fā)人員將沒有經(jīng)過漏洞掃描的低質(zhì)量代碼自行合并到產(chǎn)品線分支中,影響了代碼質(zhì)量,甚至埋下安全隱患。派拉軟件為了幫助客戶達(dá)成內(nèi)控外審的多重安全要求,亟需打造一套高效、安全、持續(xù)更新迭代的軟件研發(fā)體系。
2021年,恰逢極狐GitLab 一體化 DevOps平臺作為 GitLab中國發(fā)行版正式落地,派拉軟件從 GitLab 社區(qū)版遷移到了極狐GitLab 旗艦版。談及選擇直接升級為極狐GitLab 旗艦版的原因,派拉軟件研發(fā)總監(jiān)茆正華總結(jié)了 3 大關(guān)鍵詞:
·主流:GitLab 長達(dá)11年經(jīng)久不衰,已經(jīng)說明了它的實力,而且派拉軟件的團(tuán)隊伙伴們都很熟悉,遷移后無縫銜接,節(jié)省了學(xué)習(xí)成本。極狐(GitLab)擁有 GitLab 在國內(nèi)獨家且永久的技術(shù)及相關(guān)知識產(chǎn)權(quán)授權(quán),獨立提供極狐GitLab一體化DevOps平臺發(fā)行版(私有部署與SaaS服務(wù)版本)。
·開放:極狐GitLab 具有足夠開放的生態(tài),方便進(jìn)行集成。派拉軟件與極狐GitLab 正在推進(jìn)共創(chuàng)《安全研發(fā)生命周期解決方案》。
·一站式:極狐GitLab 倡導(dǎo)安全左移,使得派拉軟件在開發(fā)早期階段即可實施安全代碼和策略,確保了軟件開發(fā)周期全過程的安全;極狐GitLab工具鏈非常豐富,整合度很好,幫助節(jié)省研發(fā)和整合工具的時間;CI/CD 應(yīng)用體驗佳,有助于派拉軟件及時的、高質(zhì)量地進(jìn)行構(gòu)建和部署。極狐GitLab帶來的“一站式”能力讓派拉軟件可以將更多精力放在產(chǎn)品和業(yè)務(wù)的創(chuàng)新上。
安全左移:提供保障軟件開發(fā)全生命周期的安全防護(hù)能力
用極狐GitLab 提升派拉軟件研發(fā)生命周期的安全性是派拉軟件的第一個核心訴求。
派拉軟件非常重視軟件安全,他們的大客戶對于安全要求同樣嚴(yán)苛,甚至?xí)Ξa(chǎn)品研發(fā)流程做安全審計。因此,派拉軟件投入了很大的精力來保障軟件全生命周期的安全:
首先,派拉軟件采用零信任安全架構(gòu)理念,將自家產(chǎn)品派拉軟件云身份管理平臺SSO360和極狐GitLab 的權(quán)限管理系統(tǒng)進(jìn)行深度集成,實現(xiàn)嚴(yán)格的身份認(rèn)證,對代碼這種核心資產(chǎn)形成一層保護(hù):確保只有授權(quán)的用戶才能訪問特定的資源。在此基礎(chǔ)上,派拉軟件將進(jìn)一步應(yīng)用 AI 技術(shù)實現(xiàn)多維感知、自動處理,加強(qiáng)代碼資產(chǎn)安全性。
其次,通過極狐GitLab 的動態(tài)應(yīng)用程序安全測試(DAST)和靜態(tài)應(yīng)用程序安全測試(SAST)輸出應(yīng)用程序的安全報告,安全人員可根據(jù)報告,盡早“排雷”,及時、高效地修復(fù)安全漏洞,拆除“不定時炸彈”。
最后,派拉軟件設(shè)置了 “特殊崗位”——安全測試,以模擬黑客自我攻擊等工作,對研發(fā)過程安全進(jìn)行自我驗證。極狐GitLab 幫助該新增崗位與派拉軟件前后端開發(fā)人員、測試人員、運維等人員實現(xiàn)了良好協(xié)同,并將持續(xù)支撐逐漸擴(kuò)張的研發(fā)團(tuán)隊和研發(fā)需求。
工具鏈:規(guī)范代碼流程,有效提升代碼質(zhì)量
極狐GitLab的軟件工具鏈整合能力能夠與研發(fā)流程相結(jié)合,從而達(dá)到進(jìn)一步幫助派拉軟件顯著提升代碼質(zhì)量,這是派拉軟件的第二個核心訴求。
之前,派拉軟件需要花費很多的精力在自己的研發(fā)運維平臺上。因為軟件研發(fā)過程中會用到很多工具,這些工具往往是針對軟件研發(fā)的某個階段或某幾個階段,無法做到一個工具覆蓋軟件研發(fā)的所有階段。多工具鏈帶來的例如安裝維護(hù)(升級、安全補(bǔ)丁)、相互集成、與現(xiàn)有研發(fā)系統(tǒng)、安全管理系統(tǒng)的兼容等一系列問題。
而極狐GitLab 作為一體化DevOps平臺,集十八般武藝于一身,整合眾多工具鏈能力,屏蔽安裝配置的繁雜細(xì)節(jié),做到了統(tǒng)一用戶模型、統(tǒng)一數(shù)據(jù)存儲、統(tǒng)一權(quán)限管理和統(tǒng)一用戶界面,為派拉軟件節(jié)省了工具鏈研發(fā)、購買和運維的成本。
茆正華表示:“極狐GitLab 工具鏈幫助我們規(guī)范了代碼的整個流程。以前程序員寫代碼時會有些明顯的個性化,可能帶來一定的風(fēng)險。現(xiàn)在這些個性化的代碼是無法通過極狐GitLab 工具鏈的代碼審查,將駁回重新編寫,從而幫助我們在代碼規(guī)范和風(fēng)格上形成一致性,提升代碼質(zhì)量。”
CI/CD 流水線:加速軟件集成部署,大幅提升生產(chǎn)力
極狐GitLab的CI/CD流水線工具能保障產(chǎn)品的快速構(gòu)建和部署,是派拉軟件的第三個核心訴求。
派拉軟件早期使用其他產(chǎn)品構(gòu)建 CI/CD 系統(tǒng),遇到的問題是:添加任何一個功能都需要去查找、學(xué)習(xí)對應(yīng)的插件,門檻比較高。使用過程中,派拉軟件發(fā)現(xiàn)極狐GitLab 自帶的 CI/CD 功能很強(qiáng)大,能夠滿足派拉軟件的日常研發(fā)需求。于是,派拉軟件團(tuán)隊做了一個決定:遷移到極狐GitLab CI。派拉軟件之前大概有 100+ 的 CI/CD流水線,完全遷移到了極狐GitLab CI 并使用了 template 等功能對 CI/CD 流水線進(jìn)行了優(yōu)化。
極狐GitLab 的 CI/CD 流水線保證了派拉軟件產(chǎn)品能夠及時構(gòu)建和部署,在代碼管理和合并審核管理上,集合CI/CD 反饋的健康度指標(biāo),提升了產(chǎn)品代碼的規(guī)范性和質(zhì)量。目前,極狐GitLab 已經(jīng)在派拉軟件內(nèi)部的所有產(chǎn)品線上使用,是保障派拉軟件各產(chǎn)品線敏捷迭代、高效交付的重要支撐。“尤其是在今年上海疫情期間,我們被迫居家辦公,基于與極狐GitLab 的深度集成,我們解決了流程效率問題。結(jié)合派拉軟件零信任產(chǎn)品,在疫情期間全員遠(yuǎn)程辦公條件下,我們?nèi)匀槐WC了產(chǎn)品的雙周更新迭代發(fā)布”,茆正華說到。
作為極狐GitLab 的重度用戶,派拉軟件已經(jīng)將極狐GitLab 與派拉軟件 IDaaS(SSO360) 產(chǎn)品進(jìn)行集成,為派拉軟件自身的產(chǎn)品研發(fā)提供良好的安全性管理。茆正華表示:“極狐GitLab 和派拉軟件在很多觀點上是非常相通的。極狐GitLab 以及圍繞極狐GitLab 生態(tài)的相應(yīng)工具和能力,與派拉軟件完全集成起來后,可以廣泛應(yīng)用到各種場景。”
未來,極狐GitLab 將持續(xù)與派拉軟件一同探索多元安全解決方案、快速響應(yīng)市場需求,幫助企業(yè)用戶穩(wěn)健、快速地推進(jìn)數(shù)字化轉(zhuǎn)型與升級。
免責(zé)聲明:市場有風(fēng)險,選擇需謹(jǐn)慎!此文僅供參考,不作買賣依據(jù)。
關(guān)鍵詞: