实现管道安全性

  • 2 分钟

若要保护代码，保护凭据和机密至关重要。 钓鱼变得越来越复杂。 以下列表是团队为保护自身而应该应用的几个操作做法：

  • 身份验证和授权。 使用多重身份验证 (MFA)，甚至跨内部域使用，并使用实时管理工具（如 Azure PowerShell Just Enough Administration (JEA)）来防范特权提升。 对不同的用户帐户使用不同的密码，一组访问凭据被盗时可以限制损害。
  • CI/CD 发布管道。 如果发布管道和节奏已损坏，请使用此管道重新生成基础结构。 使用 Azure 资源管理器，或者使用 Azure 平台即服务 (PaaS) 或类似服务，管理基础结构即代码 (IaC)。 管道将自动创建新实例，然后销毁它们。 它限制了攻击者能在你的基础结构中隐藏恶意代码的位置。 Azure DevOps 将加密管道中的机密。 最佳做法是像轮换其他凭据一样轮换密码。
  • 权限管理。 可以使用基于角色的访问控制 (RBAC) 来保护管道，就像对源代码一样。 它使你能够控制编辑用于生产的生成和发布定义。
  • 动态扫描。 这是使用已知攻击模式测试正在运行的应用程序的过程。 可以在发布中实施渗透测试。 还可以随时了解 Open Web Application Security Project (OWASP) Foundation 等安全项目的最新动态，然后将这些项目纳入你的流程。
  • 生产监视。 这是一个关键 DevOps 做法。 用于检测入侵相关异常的专用服务称为“安全信息和事件管理”。 Microsoft Defender for Cloud 侧重于与 Azure 云相关的安全事件。

注意

在所有情况下，都请使用 Azure 资源管理器模板或其他基于代码的配置。 实施 IaC 最佳做法，例如在模板中进行更改以使更改可跟踪且可重复。 此外，可以使用预配和配置技术，例如 Desired State Configuration (DSC)、Azure 自动化，以及可与 Azure 无缝集成的其他第三方工具和产品。