ナビゲーションをスキップする

DevSecOps

セキュリティで保護されたアプリを、信頼できるプラットフォームで構築します。DevSecOps フレームワークで、開発者のワークフローにセキュリティを埋め込み、コラボレーションを促進します。

DevOps の速さで革新的なアプリを安全に提供

新しい種類のサイバーセキュリティ攻撃が増えているため、開発サイクルの早い段階でセキュリティを組み込み、開発環境とソフトウェアのサプライ チェーンを強化する必要があります。DevSecOps は、DevOps チームと SecOps チームが連携して安全なアプリを構築するために役立つ GitHub と Azure の製品やサービスを組み合わたものです。

組織内のあらゆる人を安全なアプリケーションの構築と運用に関与させることで、お客様の環境の保護に役立てます。"シフトレフト" のセキュリティとは、計画から開発、パッケージ化、デプロイに至るまでの開発の初期段階でセキュリティに関する考え方を組み込むことです。Visual Studio と GitHub を使用して開発者のワークフローにセキュリティを組み込むことで、コード レビュー時に潜在的なセキュリティの脆弱性を自動的に検出できます。

サードパーティのコードやオープンソースのソフトウェアをアプリケーションで使用している場合に、ソフトウェア サプライ チェーンの制御性を向上させることができます。セキュリティを強化するために、運用環境のコードを検査し、使用されているサードパーティ コンポーネントをトレースする Azure および GitHub の製品とサービスを使用して、自信を持って開発することができます。

便利で安全なアプリケーション運用を可能にする幅広い Azure サービスをご利用ください。Kubernetes を含むマネージド アプリケーション プラットフォーム上でコードを実行でき、また信頼されたサービスを活用して、お使いのキー、トークン、シークレットを安全に管理できます。ポリシーを使用して、お客様の環境のセキュリティについて自信を高めることができます。そして、お使いのアプリケーションとインフラストラクチャに対しリアルタイム監視ソリューションを活用することにより、スムーズで安全な運用を行うことができます。

厳しいアクセス制御で、お客様のアプリケーション、コード、インフラストラクチャを保護します。Azure は、お客様の組織の内部ユーザーだけでなく、お客様のアプリケーションにアクセスする外部コンシューマーに対しても、業界トップの ID サービスを提供します。DevSecOps の ID プラットフォームを使用して、GitHub 上のお客様のコードへのアクセスをセキュリティで保護し、Azure リソースのアクセス許可をきめ細かく管理し、お客様のアプリケーションのための認証と認可のサービスを提供します。

セットに含まれている製品とサービスをすべて利用することも、必要なものだけを選択することも可能

世界で最も人気のある開発者プラットフォームである GitHub には、お客様のアプリのコードと依存関係をセキュリティで保護できるようにするための高度な機能が用意されています。

  • GitHub Advanced Security と、業界トップ レベルのセマンティック コード分析エンジンである CodeQL を利用して、コードの脆弱性を検出します。
  • セキュリティの警告と自動セキュリティ更新プログラム (Dependabot) を使用して、依存関係のセキュリティに関する問題を特定し、修復できます。
  • 資格情報とトークンが誤ってソース管理にコミットされた場合に、シークレットのスキャンによりアラートを受け取ることができます。

継続的インテグレーションのために Azure Pipelines を使用すると、コミットするたびにコードがコンパイルされ、Docker コンテナーとしてパッケージ化され、テスト環境に自動的にデプロイされます。Azure Pipelines の継続的デリバリー機能は、エンドツーエンドの完全な追跡可能性を備えた、実稼働対応のコンテナー イメージを、自信を持って構築することを可能にします。お客様の環境で実行されているすべてのコードを把握するために、すべてのイメージのコミット、作業項目、成果物を追跡します。

実稼働用コンテナー イメージは Azure Container Registry に保管されます。ここでは、コンテナーと Azure Security Center の統合によって脆弱性が自動的にスキャンされます。

Terraform などのコードとしてのインフラストラクチャ ソリューションを使用して、お使いの CI/CD パイプラインから直接 AKS クラスターをデプロイします。

Azure Policy を AKS と統合することで、運用の準拠を確保します。

Azure Key Vault を使用して、キー、証明書、トークン、その他のシークレットを安全に保管しているため、お客様のアプリケーションは実行時にそれらを読み込むことができます。このようにすると、これらをお客様のアプリケーションのコードに含めるよりも安全になります。

外部向けのアプリと社内の基幹業務アプリのどちらを構築している場合でも、Azure Active Directory (Azure AD) を使用して ID とアクセス制御を安全に管理します。

お客様の組織のディレクトリでユーザーを認証し、多要素認証ID 保護、異常アクティビティ レポートなどの高度なセキュリティ機能を活用します。

お使いの Azure リソースや Azure portal へのアクセスは、きめ細かいロールベースのアクセス制御 (RBAC) を使用して保護します。

外部ユーザー向けの企業消費者間アプリケーションへのアクセスは、Azure Active Directory B2C を使用して管理します。

Azure Monitor を使用すると、アプリケーションとインフラストラクチャの両方をリアルタイムで監視して、コードの問題、不審なアクティビティや異常を検出することができます。

Azure Monitor は Azure Pipelines のリリース パイプラインと統合されており、データの監視に基づいて品質ゲートを自動承認したり、リリースのロールバックを行ったりすることができます。

お客様のセキュリティ チームを既存の DevOps チームと統合する方法についての詳細情報

DevOps プラクティスにセキュリティを統合するための 6 つのヒントをお読みください。最先端の組織が企業全体に DevSecOps を実装した方法をご紹介します。

DevSecOps 製品とサービスについての詳細情報

GitHub Enterprise

オープンソースのコードとベスト プラクティスをお客様のエンタープライズ プロジェクトに安全に導入することで、大規模なイノベーションを実現できます。

Azure Boards

作業について、チームを越えて計画、追跡、議論することができます。

Azure AD

ID およびアクセス管理を使用して、お客様の組織内の重要なリソースへのアクセスを管理、制御、監視できます。

Azure Security Center

セキュア スコアを活用して、アプリケーションのインフラストラクチャに潜在するリスク領域を検出できます。

GitHub Codespaces

Visual Studio Code を活用し、数秒で起動する高性能な仮想マシン (VM) を基盤とする、超高速なクラウド開発者環境を利用できます。

Azure での DevSecOps

事業でカスタム データまたはクライアント データを保管する場合には、そのようなデータの管理と連携に対応するためのソリューションを、セキュリティを考慮して開発します。DevSecOps では、シフトレフト戦略を使用して、セキュリティについてのベスト プラクティスを (最後に検査するのではなく) 開発の最初の段階から利用します。

ソリューションのアーキテクチャを表示する

お客様は DevSecOps を使用してイノベーションを安全に提供

DevOps の速さで安全にデプロイ時間を短縮

デプロイ時間を短縮するために、CDT では、DevSecOps プロセス、CI/CD、インフラストラクチャに対して Azure と GitHub を実装しました。これにより、CDT のチームは、より迅速かつ安全にコードを共同作成し、リリースできるようになりました。

California Department of Technology

DevSecOps を利用した IT コンサルティング

"As part of the best practices for DevSecOps, we recommend our DevSecOps platform, methods, and GitHub as a key part of this ecosystem. As our customers' processes mature, we expect to see more and more use of GitHub Enterprise."

Naresh Choudhary 氏、再利用およびツール部門のバイスプレジデント、Infosys
Infosys

DevSecOps でセキュリティを企業文化として定着させる

"The culture of the company has been built from communication and interactions where security is everyone's responsibility. Whether you're an engineer or you're a product manager, you have to care about security, just like you have to care about the functionality and quality of the product."

Emilio Escobar 氏、最高情報セキュリティ責任者、Datadog
DataDog

DevSecOps の利用を開始する

クラウド セキュリティの詳細情報

マルチクラウドのアプリとリソースを保護する方法について説明します。