Zanim cokolwiek zaproponujemy, opisujemy stan, który zwykle zastajemy.
Pipeline zna klucze do chmury, do repozytoriów i do serwerów produkcyjnych. Zwykle powstawał latami, dorzucany po kawałku, i nikt nie wie już, kto ma do niego dostęp ani co dokładnie robi. Przejęcie go daje więcej niż włamanie do pojedynczej aplikacji.
Zakres ustalamy po diagnozie. Rzadko wchodzą wszystkie cztery elementy naraz.
Porządkujemy to, co ma klucze do wszystkiego.
Najpierw ustalamy, kto może uruchomić wdrożenie, kto zatwierdza zmianę i co przechodzi bez akceptacji — zwykle okazuje się, że więcej osób i procesów niż ktokolwiek zakładał. Klucze wpisane na stałe w konfigurację zastępujemy dostępem przyznawanym na czas jednego uruchomienia, więc wyciek pliku przestaje oznaczać wyciek produkcji. Środowisko budowania izolujemy i kontrolujemy, co do niego wchodzi z zewnątrz. Włączamy rejestrowanie tak, żeby po każdym wdrożeniu został ślad: kto, kiedy i na podstawie jakiej zmiany.
Kto może uruchomić wdrożenie, kto zatwierdzić zmianę, co dzieje się bez akceptacji.
Klucze na stałe wpisane w konfigurację zastępujemy dostępem przyznawanym na czas jednego uruchomienia.
Izolacja, kontrola zależności zewnętrznych i weryfikacja tego, co wchodzi do procesu.
Ślad po każdym wdrożeniu — kto, kiedy, na podstawie jakiej zmiany.
Zakres ustalamy po rozmowie i diagnozie. Mniejsze wdrożenia zamykają się w kilku tygodniach, większe dzielimy na etapy, żeby efekt był widoczny po pierwszym.
Zwykle nie do całego. W większości przypadków wystarczy dostęp do konfiguracji procesu budowania i ustawień organizacji. Zakres ustalamy pisemnie przed startem.
Tak, ale nie na pełen etat. Potrzebujemy kontaktu z osobą, która zna system, i przeglądu naszych zmian. Reszta jest po naszej stronie.
Wpinamy się w to, co u Was działa. Wymiana narzędzia to najdroższy i najrzadziej potrzebny sposób poprawy bezpieczeństwa.
Nie musicie. Pracujemy na standardach i narzędziach, które Wasz zespół zna albo szybko pozna — nie na autorskiej metodyce, którą rozumiemy wyłącznie my. Wszystko jest udokumentowane i przekazane.
Tak wpinamy kontrole, żeby działały w tle. Jeśli któraś zaczyna blokować pracę, dostrajamy ją albo zmieniamy jej miejsce w procesie.