使用Docker保护软件供应链安全
在Docker内部,我们花了很多时间讨论一个话题:如何将运行时安全和隔离作为容器架构的一部分?然而这只是软件流水线的一部分。 我们需要的不是一次性的标签或设置,而是需要将安全放到软件生命周期的每个阶段。 由于软件供应链上的人、代码和基础设施一直在改变,交互也越来多,组织(公司)必须将安全纳入供应链的核心部分。 考虑一个实际存在的产品:如电话,仅仅考虑到最终产品的安全性是不够的。除了决定使用什么样的防盗包装,你可能也想知道材料的来源,以及他们是如何组装,包装,运输。因为,重要的是我们还要确保手机不被改造或运输途中被盗。 软件供应链几乎跟实际产品的供应链是相同的。你必须能够识别和信任原材料(代码、依赖、打包),把它们组装在一起后,将它们从海上、陆上或空中(网络)运输到一个存储地(存储库),以便将项目(应用)出售(部署)给终端用户。 确保软件供应链也十分相似。你需要: 确定流水线中的所有东西,从人,代码,依赖关系,到基础设施 确保一个一致和优质的构建过程 在存储和运输中保护产品 对材料清单的交付保证并验证最终产品 在这篇文章中,我们将诠释Docker的安全特性如何为软件供应链提供持续的安全。...