zurück zum Artikel

Sentinel setzt Policies als Code um und lässt sich in den Entwicklungszyklus einbetten. Das Framework wird Bestandteil der Enterprise-Produkte von HashiCorp und ist vergleichbar mit Chef InSpec.

Der Hersteller kommerzieller und quelloffener Infrastrukturwerkzeuge HashiCorp hat ein Policy-as-Code-Framework vorgestellt. Das Tool namens Sentinel, was sich mit Wächter übersetzen lässt, wird Bestandteil der kommerziellen Produkte des Unternehmens, also Terraform Enterprise, Nomad Enterprise, Vault Enterprise und Consul Enterprise. Sentinel hilft mit einer eigenen Sprache, Compliance-Vorgaben umzusetzen, und ist vergleichbar mit InSpec, das Chef vor einem Jahr in Version 1.0 veröffentlicht hat [1].

Eine eigene Programmiersprache

Mit dem Framework lassen sich Policies in der spezielle entwickelten Sentinel Language schreiben, die sich an bekannten Programmiersprachen orientiert. Offensichtlich haben die Macher im Vorfeld evaluiert, ob vorhandene Sprachen sich für den Einsatz in Sentinel eignen, sind aber zu dem Schluss gekommen [2], dass eine eigene Sprache sinnvoller sei.

Die wichtigsten Voraussetzungen beim Entwurf waren, dass die Sprache für erfahrene Entwickler geeignet sein soll und bekannte Elemente verwendet, aber auch Mitarbeitern ohne Programmierkenntnisse die Möglichkeit geben müsse, einfache Regeln zu entwerfen. Außerdem ist sie auf die HashiCorp-Produkte ausgelegt. Schließlich spielt die Sicherheit eine große Rolle: Der ausgeführte Code darf weder zu einem Absturz des Systems führen noch den unkontrollierten Zugriff auf Ressourcen ermöglichen.

Jede Policy hat eine rule namens main. Wenn das dort berechnete Ergebnis true ist, gilt die Policy als erfüllt. Weitere Regeln lassen sich analog zu Methoden in anderen Programmiersprachen umsetzen. Folgendes einfache Beispiel von der HashiCorp-Site zeigt die Überprüfung des Wochentags und der Zeit:

import "time"

# Validate time is between 8 AM and 4 PM
valid_time = rule { time.hour > 8 and time.hour < 16 }

# Validate day is M - Th
valid_day  = rule {time.day in ["monday", "tuesday", "wednesday", "thursday"]}

main = rule { valid_time and valid_day }

Verschiedene Ebenen für die Vorgaben

Sentinel kennt drei sogenannte Enforcement Levels, die festlegen, wie das System die jeweilige Policy durchsetzt:

• Advirsory bedeutet, dass das System beim Verfehlen der Policy lediglich eine Warnung ausgibt.
• Hard Mandatory zeigt an, dass die Policy auf jeden Fall erfüllt sein muss.
• Soft Mandatory heißt, dass die Policy erfüllt sein muss, wenn kein sogenannter "Override" zum Überstimmen der Regel spezifiziert ist. Die konkrete Umsetzung dazu ist von der jeweiligen Anwendung abhängig.

Ein Sentinel SDK ermöglicht die Anbindung externer Systeme, um die Policies in die Arbeitsabläufe über verschiedene Systeme hinweg zu verwenden. Mit dem Sentinel Simulator können Entwickler die erstellten Policies lokal testen, bevor sie sie ins System überspielen.

Weitere Details lassen sich dem HashiCorp-Blog [3] entnehmen. Eine Open-Source-Variante scheint anders als bei Chef InSpec nicht geplant zu sein, zumal der Blog eindeutig Bezug auf die Enterprise-Produkte nimmt. (rme [4])

URL dieses Artikels:
https://www.heise.de/-3836028

Links in diesem Artikel:
[1] https://www.heise.de/news/Chef-veroeffentlicht-InSpec-1-0-3332637.html
[2] https://docs.hashicorp.com/sentinel/concepts/language
[3] https://www.hashicorp.com/blog/sentinel-announcement-policy-as-code-framework/
[4] mailto:rme@ix.de

Copyright © 2017 Heise Medien