Novedades en CI/CD

Novedades en
CI/CD
@nbellocam
Cloud Santiago

Combinación de prácticas de
continuous integration (CI) y
continuous delivery (CD) o (menos común)
continuous deployment (también CD)
CI/CD = CI + (CD || CD)
Delivery Deployment
CI/CD

Vamos por partes
Continuous Delivery (CD)
Foco en que el software este siempre
listo para salir a producción,
haciendo deploys a algún ambiente
para probar.
Continuous Deployment (CD)
Similar al anterior, pero
automatizando la salida a
producción.
O
Continuous Integration
(CI)
● Unir/Mergear todos nuestros
cambios frecuentemente en la
rama principal
● Revisiones de código
● Compilar la solución
● Correr test de unidad e
integración

En acción: completo
Source Control
Guardado y revisiones
Desarrollo local
Escribir el código
Controles de
seguridad
Auditorias, escaneo, etc.
Compilación y testing
automatizado
Smoke testing
¿Hay algo que se nos
escapó?
Continuous Deployment
Cuando pasan los test,
pasamos a producción
Continuous Delivery
Deploy continuo a staging
para testing de integración

Shift Left
Source Control
Guardado y revisiones
Desarrollo local
Escribir el código
Controles de
seguridad
Auditorias, escaneo, etc.
Compilación y testing
automatizado
Smoke testing
¿Hay algo que se nos
escapó?
Continuous Deployment
Cuando pasan los test,
pasamos a producción
Continuous Delivery
Deploy continuo a staging
para testing de integración

¿Quién no rompió
producción alguna
vez?
Photo by Pickled Stardust on Unsplash

¿Como pasa esto?
1. Procesos manuales
2. Pasos manuales
3. Dependencia en estados
anteriores correctos
4. Checklist de “cómo salir
a producción” incompletos
Photo by Pickled Stardust on Unsplash

El rendimiento de la entrega continua
predice el rendimiento de la entrega de software, lo que
predice el rendimiento organizacional
Medido por KPIs como
● mayor cuota de mercado
● reducción del agotamiento de los empleados

Mayor rendimiento de
entrega también
significa saber antes
cuando algo no
funciona.
Photo by Dim Hou on Unsplash

¿Necesitas más motivos? Revisar DORA
Catálogo de
Capacidades
Verificación rápida de
DevOps
Informe Accelerate
State of DevOps 2023
y anteriores

Desafíos de CI/CD
● Elasticidad
Photo by Tobias Tullius on Unsplash

Desafíos de CI/CD
● Elasticidad

Desafíos de CI/CD
● Elasticidad
● Portabilidad
● Mantenimiento
Photo by Tobias Tullius on Unsplash

Soluciones “modernas” de CI/CD
● Diseñados con la portabilidad en mente
● Elásticos
● Gestionados
Photo by Efe Kurnaz on Unsplash

Seguridad de la
cadena de
suministro de
software

Seguridad de la cadena
de suministro de
software
Desafíos
Photo by Arno Senoner
on Unsplash

Cadena de suministro de software

Cadena de suministro de software - ataques

Gran dependencia del
código abierto
Introduce
contribuyentes
desconocidos y
amplía la cadena de
suministro
Proliferación
de OOS
Automatización
de CI/CD
El desarrollo moderno
aumenta la frecuencia
de implementación
Falta de
automatización de
seguridad
Proliferación de
imágenes base
Muchos vectores
de ataque
La cantidad de
vectores de ataque
hace que esto sea
difícil de proteger
Difícil de entender el
nivel de exposición
Herramientas /
Estándares
Número y ritmo de los
nuevos estándares
No hay ninguna
solución de producto
de clase empresarial
de extremo a extremo
en el mercado
Principales Desafíos

Seguridad de la cadena
de suministro de
software
Conceptos
Photo by Arno Senoner
on Unsplash

Factores clave
Procedencia
¿Dónde y cómo fue creado?
Transparencia
¿Cuál es el contenido?
Impacto
¿Se ven afectados?
Photo by Jen Theodore on Unsplash

Procedencia: SLSA framework
Supply Chain Levels for Software Artifacts
● Open Source Security Framework
● Exteriorización del framework interno de Google
● Gobernanza abierta
slsa.dev

slsa.dev
Requisitos Foco
L0 (ninguno) (n/a)
L1 Procedencia mostrando cómo se construyó el
paquete
Errores, documentación
L2 Procedencia firmada, generada por una plataforma
de compilación alojada
Manipulación después del build
L3 Hardened build platform, isolation Manipulación durante o después
el build

● Builders producen un documento de procedencia firmado
(aka build attestation)
● El documento incluye una definición de compilación y
detalles de ejecución de la misma
● Los consumidores siguientes pueden usar este documento
y tomar decisiones por policies
slsa.dev

Transparencia: SBOM
Software Bill of Materials
Impulsores de SBOM:
● Al producir: Cumplimiento de
licencias, monitoreo de
vulnerabilidades
● Al seleccionar: Análisis de seguridad
dirigido, cumplimiento de políticas
● Al operar: Gestión de riesgos,
mitigaciones independientes
cisa.gov/sbom
Software Package Data Exchange

Impacto: VEX
Vulnerability Exploitability eXchange
● El software puede contener componentes con una vulnerabilidad y,
sin embargo, no ser vulnerable en sí mismo
● VEX proporciona contexto para las vulnerabilidades del software
mediante declaraciones de impacto
cisa.gov/sbom

Impacto: VEX
Vulnerability Exploitability eXchange
● El software puede contener componentes con una vulnerabilidad y,
sin embargo, no ser vulnerable en sí mismo
● VEX proporciona contexto para las vulnerabilidades del software
mediante declaraciones de impacto
cisa.gov/sbom
VEX Impact Statement
VULNERABILITY X [AFFECTS|DOES NOT AFFECT] SOFTWARE Y
[BECAUSE OF Z]

Runtime
Google Cloud
DevOps
Operate
Cloud Logging &
Monitoring
Package
Artifact Registry
Scanning
Artifact Analysis
SCM
Source
Repositories
Build
Cloud Build
IDE
Cloud Code Deploy
Cloud Deploy

Cloud Workstations y
Cloud Code

● Administrar la
infraestructura de la
estación de trabajo
● Políticas de seguridad
● Imágenes personalizadas
● Controles de VPC y VPC-
Service
● Regionalizado
Cloud Workstations: Managed Dev Environment
DevOps
Team
Devs
● Bajo demanda
● Accede desde cualquier lugar
● Herramientas preconfiguradas
● Consistente en todo el
equipo

Cloud Code
● Incorpora Duet AI en
tus IDE favoritos
● Detección de
vulnerabilidades
mientras programas
● Información
procesable, pasos de
resolución
● Informes de licencias

Plataforma de automatización de DevOps flexible
Sin opinión, permite ejecutar:
● CI & Builds (Containers,
binarios, files, VM images)
● Integration tests
● Automated Deployments
● Infra-as-Code (terraform,
helm)
● Data, ML, IoT pipelines

Cloud Build workflow
● Ejecuta la compilación como una
serie de pasos
● Cada paso es un contenedor
● Las compilaciones no tienen servidor
● Containers
● Artefactos de
lenguaje (go, npm,
Python, Maven, etc)
/workspace
Build
step
Build
step
Build
step
Build
step
Build
step
</>
Código
fuente
Artefactos

Características
• Compatibilidad nativa con Docker
• Integración directa con GitHub y GitLab
• Compatibilidad integral con gcloud y
Terraform
• Tipos de activadores: manuales,
webhooks y Pub/Sub
• 15 tipos de máquinas y ejecuta cientos
de compilaciones simultáneas por grupo
• Cumplimiento del nivel 3 de SLSA
• Soporte VPC
• 2500 minutos gratis

Procedencia: Cloud Build
● Procedencia de compilación
automática - SLSA Nivel 3
○ Prevención de manipulación
del build
○ Generación de certificación
verificable
● Security insights

Artifact Registry +
Artifact Analysis

Artifact Registry es la evolución de GCR
● Gestión de artefactos de compilación
escalable, confiable y segura de
contenedores y paquetes
● GCP native-and-integrated
● Universal package manager (containers,
language packages, OS packages y
generic)
● Soporte integrado para funciones de
seguridad y cumplimiento de GCP

Artifact Registry: algunas características nuevas
● Remote Repositories
● Virtual Repositories
● Cleanup Policies

Seguridad de la cadena de suministro de software
Artifact Registry
● Repositorios virtuales y
remotos
● Gobernanza de
dependencia más sencilla
Artifact Analysis
● Escaneo de contenedores
al instante (puntuación
CVSS)
● Capacidad para exportar
información SBOM

Artifact Analysis
Package Scanning
● Maven
● Go
● Python
● NPM
Photo by Milan Malkomes on Unsplash

Transparencia: SBOM
Software Bill of Materials
Google Artifact Registry permite generar una
lista de materiales de software (SBOM) utilizando
las herramientas de Google Cloud o puede
incorporar sus propios SBOM generados por
productos de terceros.

Cloud Deploy
● Entrega continua, objetiva y gestionada:
○ Google Kubernetes Engine
○ Multi-cloud & On-prem clusters
○ Cloud Run
● Prácticas de implementación centralizada
● Énfasis en una fácil incorporación,
control y acceso a métricas

Cloud Deploy: algunas características nuevas
● Canary deploy
● Parallel deploy + Deploy parameters
● Deploy hooks

Enfoque de seguridad de la
cadena de suministro de
software de Google Cloud

Desarrollo
● Cloud IDE
● Conocimiento de
vulnerabilidades de
dependencias y licencias
Suministros
● Portafolio de paquetes
OSS confiables
● Análisis de
vulnerabilidades
● Gobernanza de
dependencias
● Pipeline de imágenes
base
CI/CD
● Procedencia de la
compilación
● Generación de SBOM y VEX
● Evaluación de políticas
● Validación previa al
vuelo
● Repositorios confiables
Ejecución
● Control de admisión
● Análisis de
configuración incorrecta
● Revisión continua de
vulnerabilidades
● Validación de políticas
Policy

● Considerar servicios de CI/CD
administrados
● Asegurarse de que nuestro
pipeline tenga protecciones
contra manipulaciones
● Integrar la seguridad
tempranamente
● Los pipelines de alto
rendimiento conducen a mejores
negocios y a ingenieros más
felices
Photo by Patrick Perkins on Unsplash

¡Muchas Gracias!
@nbellocam
Cloud Santiago

Novedades en CI/CD

Recomendados

Recomendados

Más contenido relacionado

Similar a Novedades en CI/CD

Similar a Novedades en CI/CD (20)

Más de Nicolás Bello Camilletti

Más de Nicolás Bello Camilletti (17)

Último

Último (16)

Novedades en CI/CD

Notas del editor