Bewährte Praktiken in der Toolchain für die kontinuierliche Integration

Die Implementierung der Continuous Integration (CI) Toolchain DevSecOps folgt diesen Praktiken.

• Führt einen statischen Code-Scanner auf den Anwendungs-Repositories aus, um Geheimnisse im Quellcode der Anwendung und verwundbare Pakete, die als Anwendungsabhängigkeiten verwendet werden, zu erkennen.
• Erstellt ein Container-Image bei jedem Git-Commit, wobei ein Tag basierend auf der Build-Nummer, dem Zeitstempel und der Commit-ID für die Rückverfolgbarkeit gesetzt wird.
• Testet die Dockerdatei vor der Erstellung des Images.
• Speichert das erstellte Bild in einer privaten Bildregistrierung.
• Konfiguriert automatisch die Zugriffsberechtigungen für die Bereitstellung von Zielclustern, indem API-Tokens zum Entzug verwendet werden.
• Scannt das Container-Image auf Sicherheitslücken.
• Fügt bei erfolgreichem Abschluss eine Docker-Signatur hinzu.
• Fügt das built-image-Tag automatisch in das Bereitstellungsmanifest ein.
• Verwendet einen expliziten Namespace im Cluster, um jede Bereitstellung zu isolieren (kubectl delete namespace Befehl).
• Baut, validiert und stellt automatisch jeden Code bereit, der in den Ziel-Git-Repository-Zweig auf dem Kubernetes-Cluster zusammengeführt wird.