Sichere Software-Supply-Chain: Weave GitOps setzt Trusted Delivery um
Integrierte Policy-Libraries und neue Dashboards vereinfachen die vertrauenswürdige Anwendungsbereitstellung mit dem September-Release von Weaveworks.
(Bild: Sergey Nivens/Shutterstock.com)
Weaveworks hat Version 2022.09 seiner GitOps-Plattform für die Cloud-native Anwendungsentwicklung und -bereitstellung veröffentlicht. Die wichtigsten Neuerungen im Release betreffen Verbesserungen, die Entwicklerinnen und Entwicklern dabei helfen, Sicherheit und Compliance auch beim kontinuierlichen Software-Deployment zu gewährleisten.
Vertrauenswürdige Anwendungsbereitstellung
Unternehmen bei der Absicherung ihrer Software-Supply-Chain gezielter zu unterstützen, ist das erklärte Ziel von Weaveworks. Der GitOps-Spezialist hatte daher zum Jahresbeginn den Anbieter Magalix übernommen und dessen Policy und Compliance Engine schrittweise in Weave GitOps integriert. Der Policy-as-Code-Ansatz von Magalix stellt Unternehmen umfassendere Kontrollmöglichkeiten bereit, um auch Security und Compliance über den gesamten Software-Lebenszyklus hinweg zu gewährleisten. Die Weaveworks-Verantwortlichen sprechen in diesem Zusammenhang von Trusted (Application) Delivery.
Auf der Basis der Versionsverwaltungssoftware Git und dem von Weaveworks an die CNCF (Cloud Native Computing Foundation) übergebenen Open-Source-Tool Flux liefert bereits die kostenfreie Version Weave GitOps Core regelkonforme und überprüfbare Methoden für Software-Deployment sowie Infrastructure as Code (IaC). In Verbindung mit der Magalix-Engine können Entwicklerinnen und Entwickler nun beim automatisierten, schrittweisen Bereitstellen ihrer Anwendungen (Progressive Deployment) auch in gleicher Weise das Einhalten von Compliance- und Sicherheitsrichtlinien gewährleisten.
Lesen Sie auch
Alexis Richardson: GitOps – Git Push All The Things
Dazu integriert Weave GitOps eine kuratierte Library, die mehr als 100 Industriestandards und Best Practices berücksichtigt – darunter SOC II, PCI-DSS, GDPR, HIPAA, MITRE ATTACK. Ergänzend zum Open Policy Agent (OPA) stehen damit umfassende Optionen für Richtlinienprüfungen und die Problembehandlung zur Verfügung, um beispielsweise Kubernetes-Manifeste automatisiert zu prüfen, bevor Anwendungen und deren Aktualisierungen in Produktivumgebungen bereitgestellt werden. Die Policy-Library können Entwicklerinnen und Entwickler zudem bei Bedarf um individuelle Regeln erweitern – mit der von OPA bekannten Sprache Rego.
Run GitOps run
Mit der Extension GitOps Run, die zunächst als Technology Preview im Release 2022.09 zur Verfügung steht, können DevOps-Verantwortliche bereits im Vorfeld des eigentlichen Git Push unterschiedliche Konfigurationen ihres geplanten iterativen Deployments testen. Vergleichbar mit kubectl port-forward arbeitet GitOps Run im Hintergrund und gleicht automatisch das lokale Arbeitsverzeichnis mit dem Kubernetes-Cluster in der aktiven kubeconfig ab. Sobald Entwicklerinnen und Entwickler die Entscheidung gefällt haben, welche Änderungen umgesetzt werden sollen, lässt sich GitOps Run stoppen und der Git Push auslösen.
Neu in Weave GitOps 2022.09 ist darüber hinaus ein Update der Team Workspaces, die nun Multi-Tenancy und Anwendungsportabilität bieten. Über die zentrale Verwaltungskonsole lässt sich damit insbesondere in größeren Organisationen auch die gleiche Anwendung über mehrere Cluster und Instanzen bereitstellen, die jeweils verschiedene Policies umsetzen und von unterschiedlichen Teams betreut werden.
Weitere Details zum neuen Release finden sich in der offiziellen Ankündigung sowie im Weaveworks-Blog.
(map)