DevSecOps
信頼できるプラットフォームにセキュリティで保護されたアプリをビルドします。開発者ワークフローにセキュリティを埋め込み、開発者、セキュリティの専門家、IT オペレーター間のコラボレーションを促進します。
DevOps の速さで革新的なアプリを安全に提供
新しい種類のサイバーセキュリティ攻撃が増えているため、開発サイクルの早い段階でセキュリティを組み込み、開発環境とソフトウェアのサプライ チェーンを強化します。DevSecOps は GitHub と Azure 製品とサービスを組み合わせ、DevOps と SecOps チーム間のコラボレーションを促進します。完全なソリューションを使用して、より安全で革新的なアプリを DevOps の速さで配信します。
組織内のあらゆる人を安全なアプリケーションの構築と運用に関与させることで、お客様の環境の保護に役立てます。"シフトレフト" のセキュリティとは、計画から開発、パッケージ化、デプロイに至るまでの開発の初期段階でセキュリティに関する考え方を組み込むことです。Microsoft Visual Studio と GitHub を使用して開発者のワークフローにセキュリティを組み込むことで、コード レビュー時に潜在的なセキュリティの脆弱性を自動的に検出できます。
サードパーティのコードやオープンソースのソフトウェアをアプリケーションで使用している場合に、ソフトウェア サプライ チェーンの制御性を向上させることができます。セキュリティを強化するために、運用環境のコードを検査し、使用されているサードパーティ コンポーネントをトレースする Azure および GitHub の製品とサービスを使用して、自信を持って開発することができます。
便利で安全なアプリケーション運用を可能にする幅広い Azure サービスをご利用ください。Kubernetes を含むマネージド アプリケーション プラットフォーム上でコードを実行でき、また信頼されたサービスを使用して、お使いのキー、トークン、シークレットをより安全に管理できます。ポリシーを使用して、お客様の環境のセキュリティについて自信を高めることができます。お使いのアプリケーションとインフラストラクチャに対しリアルタイム監視ソリューションを使用することにより、スムーズで安全な運用を行うことができます。
厳しいアクセス制御で、お客様のアプリケーション、コード、インフラストラクチャを保護できます。Azure は、お客様の組織の内部ユーザーとお客様のアプリケーションにアクセスする外部コンシューマーに対して、業界トップの ID サービスを提供します。DevSecOps ツールと ID プラットフォームを使用して、GitHub 上のお客様のコードへのアクセスをセキュリティで保護し、Azure リソースのアクセス許可をきめ細かく管理し、お客様のアプリケーションのための認証と認可のサービスを提供します。
セットに含まれている製品とサービスをすべて利用することも、必要なものだけを選択することも可能
世界で最も人気のある開発者プラットフォームである GitHub を使用して、アプリのコードと依存関係をセキュリティで保護するのに役立つ高度な機能を利用できます。
- GitHub Advanced Security と、業界トップ レベルのセマンティック コード分析エンジンである CodeQL を利用して、コードの脆弱性を検出します。
- セキュリティの警告と自動セキュリティ更新プログラムのための Dependabot を使用して、依存関係のセキュリティに関する問題を特定し、修復します。
- シークレット スキャンで、資格情報とトークンが誤ってソース管理にコミットされたときにアラートを受け取ります。
エンドツーエンドの完全な追跡可能性を備えた実稼働対応のコンテナー イメージを、自信を持って構築できます。継続的インテグレーションと継続的デリバリー (CI/CD) のための Azure Pipelines を使用すると、コミットするたびにコードがコンパイルされ、Docker コンテナーとしてパッケージ化され、テスト環境に自動的に展開されます。すべてのイメージのコミット、作業項目、成果物を追跡して、お客様の環境で実行されているコードを把握します。
GitHub Actions を使用して、プッシュ、イシューの作成、新しいリリースなどの任意の GitHub イベントでソフトウェア ワークフローを自動化して実行します。使用するサービスのアクションを組み合わせて構成し、複数のオペレーティング システム間で同時にテストするマトリックス ワークフローで時間を節約します。ご希望の言語をサポートするコードのビルド、テスト、展開を行います。
Azure Container Registry でコンテナー イメージと成果物のビルド、格納、セキュリア、スキャン、レプリケート、管理を行います。Microsoft Defender for Cloud を使用した自動スキャンで、CI/CD ワークフロー内の脆弱なコンテナー イメージを特定します。
まず、Azure Resource Manager (ARM) やその他のテンプレートを使用して、クラウドのコードとしてのインフラストラクチャ (IaC) のセキュリティで保護された構成を行い、開発者がすばやくオンボードできるようにし、負担を最小限に抑えます。Microsoft Defender for DevOps の IaC テンプレート スキャンと組み合わせて、組織内で一貫したセキュリティを確保する、テンプレート化された構成を適用して実行し、運用環境に到達するクラウドの構成ミスを最小限に抑えます。
Terraform などのコードとしてのインフラストラクチャ ソリューションを使用して、お使いの CI/CD パイプラインから直接 AKS クラスターをデプロイします。
Azure Kubernetes Service を用いた Azure Policy を使用して、操作が準拠していることを確認します。
Azure Key Vault でキー、証明書、トークン、その他のシークレットを安全に保護および管理して、アプリケーションが実行時に読み込めるようにすると同時に、アプリケーションのコード内のキーを含めるリスクを回避します。ハードウェア セキュリティ モジュール (HSM) 内にキーをインポートして生成することで、セキュリティを FIPS 140-2 レベル 2 および 3 のコンプライアンスへと強化します。
GitHub Advanced Security からのシークレット スキャンと組み合わせて、コード リポジトリにシークレットをプッシュすることによって発生する脆弱性から保護します。
外部向けのアプリと社内の基幹業務アプリのどちらを構築している場合でも、Azure Active Directory (Azure AD) を使用して ID とアクセス制御を管理します。
Azure AD ワークロード ID フェデレーション機能を使用すると、GitHub シークレット ストアで Azure サービス プリンシパル シークレットやその他のクラウド資格情報を管理する必要がなくなります。Azure ですべてのクラウド リソース アクセスをより安全に管理します。これらの機能により、GitHub の資格情報の有効期限が切れることでサービスのダウンタイムが発生するリスクも最小限に抑えられます。
お客様の組織のディレクトリでユーザーを認証し、多要素認証、Azure AD Identity Protection、異常アクティビティ レポートなどの高度なセキュリティ機能を活用します。
お使いの Azure リソースや Azure portal へのアクセスは、きめ細かい ロールベースのアクセス制御 (RBAC) を使用して保護します。
Azure Active Directory B2C を使用して、外部ユーザー向けの企業消費者間アプリケーションへのアクセスを管理します。
Azure Monitor を使用して、アプリケーションとインフラストラクチャの両方をリアルタイムで監視します。コードの問題、疑わしい可能性のあるアクティビティや異常を検出します。
Azure Monitor は Azure Pipelines のリリース パイプラインと統合されており、データの監視に基づいて品質ゲートを自動承認したり、リリースのロールバックを行ったりすることができます。
Microsoft Defender for Cloud は、Azure、オンプレミス、またはマルチクラウドのワークロードとセキュリティ体制を継続的に評価し、セキュリティでほごし、防御します。Microsoft Defender for DevOps と統合して、DevOps インベントリを完全に可視化し、実稼働前のアプリケーション コードとリソース構成のセキュリティ体制を提供します。
すべてのエンタープライズ DevOps 環境をセキュリティで保護する方法について説明します
Enterprise DevOps ツールとプラクティスのセキュリティで保護された理想的なセットアップについて説明します。この電子書籍では、特に開発者、DevOpsプラットフォーム、アプリケーション環境の強化に焦点を当てています。
関連製品
Visual Studio Code
クラウド開発用の強力かつ軽量なコード エディター
Azure DevOps
チームがコードを共有し、作業を追跡し、ソフトウェアを出荷するためのサービス
GitHub Enterprise
オープンソースのコードとベスト プラクティスをお客様のエンタープライズ プロジェクトに安全に導入することで、大規模なイノベーションを実現できます。
Azure Key Vault
キーやその他のシークレットを保護し、制御を維持する
Azure Active Directory
オンプレミスのディレクトリを同期してシングル サインオンを実現する
Azure Monitor
アプリケーション、インフラストラクチャ、およびネットワークに対する完全な可観測性
Microsoft Defender for Cloud
マルチクラウド環境とハイブリッド環境を保護する
Microsoft Defender for DevOps
統一された表示とポリシー制御で、セキュリティと開発チームを橋渡しする
Azure での DevSecOps
業務でカスタム データまたはクライアント データを保管する場合には、セキュリティを考慮して、これらのデータの管理と連携に対応するためのソリューションを開発します。DevSecOps では、シフトレフト戦略を使用して、セキュリティについてのベスト プラクティスを (最後に検査するのではなく) 開発の最初の段階から利用します。
お客様は DevSecOps を使用してイノベーションを安全に提供しています
Gjensidige は、新しいアプリケーション プラットフォームにセキュリティをフロント アンド センターで配置します
Gjensidige は DevSecOps ツールを使用して、開発者がより安全なコードを書き込み、セキュリティのベスト プラクティスを採用し、ソフトウェア サプライ チェーンの脆弱性に迅速に対応するのに役立ちます。
DevOps の速さで安全に展開時間を短縮する
デプロイ時間を短縮するために、CDT では、DevSecOps プロセス、CI/CD、インフラストラクチャに対して Azure と GitHub を実装しました。これにより、CDT のチームは、より迅速かつ安全にコードを共同作成し、リリースできるようになりました。
DevSecOps を利用した IT コンサルティング
Naresh Choudhary 氏、再利用およびツール部門のバイスプレジデント、Infosys"As part of the best practices for DevSecOps, we recommend our DevSecOps platform, methods, and GitHub as a key part of this ecosystem. As our customers' processes mature, we expect to see more and more use of GitHub Enterprise."
DevSecOps でセキュリティを企業文化として定着させる
Emilio Escobar 氏、最高情報セキュリティ責任者、Datadog"The culture of the company has been built from communication and interactions where security is everyone's responsibility. Whether you're an engineer or you're a product manager, you have to care about security, just like you have to care about the functionality and quality of the product."
