DevSecOps

セキュリティで保護されたアプリを、信頼できるプラットフォームで構築しましょう。開発者ワークフローにセキュリティを組み込み、開発者、セキュリティ専門家、IT オペレーター間のコラボレーションを促進できます。

DevOps の速さで革新的なアプリを安全に提供

新しい種類のサイバーセキュリティ攻撃が増えているため、開発サイクルの早い段階でセキュリティを統合して、開発環境とソフトウェアサプライチェーンを強化する必要があります。DevSecOps は、DevOps と SecOps のチーム間でコラボレーションを促進するために GitHub と Azure の製品やサービスを組み合わせたものです。完全なソリューションを使用して、DevOps の速さで、より安全で革新的なアプリを提供できます。

セキュリティにおけるシフトレフトソフトウェアサプライチェーンで自信を持つセキュリティで保護されたプラットフォームで提供するアクセス制御を管理する

組織内のあらゆる人を安全なアプリケーションの構築と運用に関与させることで、環境の保護に役立てます。"シフトレフト" のセキュリティとは、計画から開発、パッケージ化、デプロイに至るまでの開発の初期段階でセキュリティに関する考え方を組み込むことです。Microsoft Visual Studio と GitHub を使用して開発者のワークフローにセキュリティを統合することで、コードレビュー時に潜在的なセキュリティの脆弱性を自動的に検出できます。

サードパーティのコードやオープンソースのソフトウェアをアプリケーションで使用している場合に、ソフトウェアサプライチェーンの制御性を向上させることができます。セキュリティを強化するために、運用環境のコードを検査し、使用されているサードパーティコンポーネントをトレースする Azure および GitHub の製品とサービスを使用すると、自信を持って開発することができます。

より便利で安全なアプリケーション運用を可能にする幅広い Azure サービスを利用できます。Kubernetes を含むマネージドアプリケーションプラットフォームでコードを実行でき、信頼されたサービスを使用してキー、トークン、シークレットをより安全に管理できます。ポリシーを使用すると、環境のセキュリティについて自信を高めることができます。アプリケーションとインフラストラクチャに対してリアルタイム監視ソリューションを利用することで、スムーズで安全な運用を実現できます。

厳しいアクセス制御で、アプリケーション、コード、インフラストラクチャを保護できます。Azure によって、組織の内部ユーザーと、アプリケーションにアクセスする外部コンシューマー向けに、優れた ID サービスが提供されます。DevSecOps のツールと ID プラットフォームを使用して、GitHub 上のコードへのアクセスをセキュリティで保護し、Azure リソースのアクセス許可をきめ細かく管理し、アプリケーションのための認証と認可のサービスを提供できます。

製品とサービス一式を利用することも、必要なものだけを選択することも可能

ソフトウェアサプライチェーンをセキュリティで保護するコンテナーイメージの CI/CD デリバリーを強化するコンテナーイメージのスキャンを実行する開発環境をプロビジョニングして継続的にセキュリティで保護する Azure Kubernetes Service (AKS) でアプリをより安全に実行するキーとシークレットを管理するアプリケーション全体でユーザー認証を管理するライブテレメトリデータを収集し、システムを監視する

アプリのコード、依存物、機密をセキュリティで保護するために役立つ高度な機能を、GitHub および Azure DevOps で利用できます

業界トップレベルのセマンティックコード分析エンジンである CodeQL により、コードの脆弱性を特定できます。
Dependabot のセキュリティ警告とセキュリティ更新プログラム自動適用機能を活用し、依存物のセキュリティ問題を特定して修復できます。
誤って資格情報を含んだコードがソース管理システムにコミットされた場合は、シークレットスキャンによって自動的に通知を受け取り、プッシュをブロックすることができます。

エンドツーエンドの完全な追跡可能性が備わった実稼働対応のコンテナーイメージを、自信を持って構築できます。継続的インテグレーションと継続的デリバリー (CI/CD) に Azure Pipelines を使用すると、コードがコンパイルされ、コミットごとに Docker コンテナーにパッケージ化され、テスト環境に自動的にデプロイされます。環境で実行されているすべてのコードを把握するために、すべてのイメージのコミット、作業項目、成果物をトレースできます。

GitHub Actions を使用すると、プッシュ、イシューの作成、新しいリリースなどの GitHub イベントでソフトウェアワークフローを自動化して実行できます。使用するサービスのアクションを組み合わせて構成し、複数のオペレーティングシステム間で同時にテストを行うマトリックスワークフローで時間を節約できます。コードのビルド、テスト、デプロイでは、希望する言語がサポートされます。

Azure Container Registry を使用すると、コンテナーイメージと成果物を構築、保存、保護、スキャン、レプリケート、管理できます。 Microsoft Defender for Cloud を使用した自動スキャンで、CI/CD ワークフロー内の脆弱なコンテナーイメージを特定できます。

Azure Resource Manager (ARM) やその他のテンプレートを使用して、クラウドのコードとしてのインフラストラクチャ (IaC) の安全な構成から始めると、最小限の負担で開発者を迅速にオンボードできます。組織全体で一貫したセキュリティを確保する、テンプレート化された構成を適用して実行し、 Microsoft Defender for Cloud の IaC テンプレートスキャンと組み合わせることで、運用環境に到達するクラウドの構成ミスを最小限に抑えることができます。

Terraform などのコードとしてのインフラストラクチャソリューションを使用して、CI/CD パイプラインから直接 AKS クラスターをデプロイできます。

Azure Policy と AKS を一緒に使用することで、運用の確実な準拠を実現できます。

Azure Key Vault を使用して、キー、証明書、トークン、その他のシークレットを安全に保管および管理することで、アプリケーションが実行時にそれらを読み込むことができるようになると同時に、アプリケーションのコード内にキーを含めるリスクを回避できます。ハードウェアセキュリティモジュール (HSM) でキーのインポートと生成を行うことで、セキュリティを強化し、FIPS 140-2 レベル 2 およびレベル 3 に準拠できます。

GitHub Advanced Security または GitHub Advanced Security for Azure DevOps のシークレットスキャン機能との組み合わせにより、コードリポジトリに機密情報がプッシュされた場合に発生する脆弱性への対策ができます。

外部向けのアプリと社内の基幹業務アプリのどちらを構築している場合でも、Microsoft Entra ID (formerly Azure AD) を使用して ID とアクセス制御を管理できます。

Microsoft Entra ID (旧称 Azure AD) のワークロード ID フェデレーション機能を使用すると、GitHub シークレットストアで Azure サービスプリンシパルシークレットやその他のクラウド資格情報を管理する必要がなくなります。Azure ですべてのクラウドリソースアクセスをより安全に管理できます。これらの機能により、GitHub で資格情報の有効期限が切れることでサービスのダウンタイムが発生するリスクも最小限に抑えられます。

組織のディレクトリでユーザーの認証を行い、多要素認証、Microsoft Entra ID (旧称 Azure AD) の ID 保護、異常アクティビティレポートなどの高度なセキュリティ機能を活用できます。

お使いの Azure リソースや Azure portal へのアクセスは、きめ細かいロールベースのアクセス制御 (RBAC) を使用して保護します。

外部ユーザー向けの企業消費者間アプリケーションへのアクセスは、Microsoft Entra ID (旧称 Azure AD) B2C を使用して管理します。

Azure Monitor を使用すると、アプリケーションとインフラストラクチャをリアルタイムで監視できます。コードに関する問題と、疑わしい可能性があるアクティビティや異常を特定できます。

Azure Monitor は Azure Pipelines のリリースパイプラインと統合されており、データの監視に基づいて品質ゲートを自動承認したり、リリースのロールバックを行ったりすることができます。

Microsoft Defender for Cloud は、Azure、オンプレミス、またはマルチクラウドのワークロードとセキュリティ態勢の継続的な評価、保護、防御を行います。DevOps インベントリと、実稼働前のアプリケーションコードとリソース構成のセキュリティ態勢を完全に可視化します。

「エンタープライズ DevOps 環境のセキュリティ保護」というタイトルの電子書籍

すべてのエンタープライズ DevOps 環境をセキュリティで保護する方法の説明

エンタープライズ DevOps のツールとプラクティスの理想的で安全なセットアップについて詳しくご覧になれます。この電子書籍では、特に開発者、DevOps プラットフォーム、アプリケーション環境の強化に焦点を当てています。

電子書籍をダウンロード

Azure での DevSecOps

事業でカスタムデータまたはクライアントデータを保管する場合には、セキュリティを考慮して、そのようなデータの管理と連携に対応するためのソリューションを開発します。DevSecOps では、シフトレフト戦略を使用して、最後に監査を行うのではなく、セキュリティについてのベストプラクティスを開発の最初の段階から利用します。

ソリューションアーキテクチャを表示する