セキュリティ

一元的なコード検査、コンパイル、およびレポートメカニズムは、アプリケーション開発者がこのタスクを記述するのを解放することで、大きなセキュリティ上の利点を提供し、市場投入までの時間を短縮できます。

組織がセキュリティの脆弱性とコード検査結果を報告する方法を検討してください。例えば、次のようなレポートアプローチが一般的です。

• パイプラインの停止

• E メールメッセージとダッシュボード

セキュリティスキャンの結果によりマージとデプロイを停止する場合は、次の 2 つのソリューションを提供する必要があります。

• 問題を伝えて解決するための明確なメカニズム。

• Infrastructure as Code (IAC) 標準の変化に対応できる応答性の高い中央スキャン標準。

中央セキュリティスキャンで、誤ってリソースの作成に暗号化キーパラメータを特定の形式にする必要があるシナリオを想像してみてください。(Amazon リソースネーム (ARN) 文字列はリソースの例です。） ただし、アプリケーションチームはこれらのリソースを数十個作成する必要があり、IaC のforループを使用してキー ARN を渡します。これでセキュリティ要件は満たされましたが、スキャンツールは適切なコーディングプラクティスを正確に反映していません。このアプローチは、配信の遅延や開発者の不満を引き起こす可能性があります。