Schriftliche DevOps-Schulung

Wie schützen Sie Ihre DevOps-Deployment-Pipeline?

Wenn Sie und Ihr DevOps-Team nach den bisherigen Grundsätzen eine funktionierende Deployment-Pipeline für Continuous Delivery aufgebaut haben, können Sie risikoarme Produktions-Deployments ohne externe Freigabe durchführen. Die meisten Deployments müssen dann kein Änderungsfreigabeverfahren mehr durchlaufen. Sie stützen sich auf einen gut entworfenen Bereitstellungsprozess, automatisierte Tests, Überwachung und aussagekräftige Warnungen aus Ihren Umgebungen. Sicherheit und Compliance bleiben wichtige Aufgaben des Teams. Sie dienen dazu, gesetzliche Vorgaben einzuhalten und gut für Ihre Kunden zu sorgen. Arbeiten Sie weiter mit den Fachleuten für Sicherheit und Compliance zusammen. Machen Sie es sich im Alltag zur Gewohnheit, sichere Systeme zu entwerfen, die den für Ihre Organisation geltenden Vorschriften entsprechen.

Arten von Änderungen in Ihren Produktionssystemen

• Standardänderungen: Risikoarme Änderungen ohne Freigabebedarf. Sie lassen sich schnell bereitstellen, weil sie vollständig automatisiert und protokolliert werden. Beispiele sind Aktualisierungen von Datenbank-Nachschlagetabellen und Inhalten, Änderungen am Erscheinungsbild sowie Standardpatches für Betriebssysteme, Datenbanken oder externe Komponenten.
• Normale Änderungen: Änderungen mit hohem Risiko. Sie erfordern eine Freigabe durch das Change Advisory Board (CAB), das zur Beurteilung einen Änderungsantrag (Request for Change, RFC) erwartet. Die Durchlaufzeit ist lang, weil den Mitgliedern häufig das nötige Fachwissen fehlt. Sie halten Änderungen zurück und entscheiden letztlich anhand ihrer Erfahrung, Intuition und ihrer Haltung gegenüber der antragstellenden Person.
• Dringende Änderungen: Änderungen mit hohem Risiko, die von der obersten Führungsebene freigegeben werden müssen. Dazu gehören kritische Produktionsfehler mit Folgen für Kunden, Korrekturen problematischer Deployments, Sicherheitspatches und die Wiederherstellung von Diensten.

Dokumentieren Sie alle Änderungen unabhängig von ihrer Art in Ihren Systemen für Änderungsmanagement und Arbeitsplanung, etwa Remedy und Jira. So ist die Arbeit innerhalb und außerhalb des DevOps-Teams sichtbar.

Nutzen Sie erfolgreiche automatisierte Deployments, um normale Änderungen in Standardänderungen zu überführen

Je höher der Anteil von Standardänderungen gegenüber normalen Änderungen, desto weniger CAB-Freigaben sind nötig. Das ermöglicht einen schnelleren Arbeitsfluss und eine bessere Deployment-Pipeline.

Nutzen Sie Ihre bisherigen erfolgreichen automatisierten Deployments, um möglichst viele normale Änderungen in Standardänderungen zu überführen. Zeigen Sie dem CAB die Historie Ihrer Deployments und die Liste der Produktionsvorfälle. Belegen Sie, dass automatisierte Produktions-Deployments keine oder nur geringfügige Vorfälle verursachen.

Beschleunigen Sie Deployments normaler Änderungen

Automatisieren Sie bei Änderungen, die normal bleiben müssen, die Erstellung des Änderungsantrags (RFC). Verknüpfen Sie damit automatisierte und manuelle Testergebnisse, behobene und offene Vorfälle sowie Überwachungsdaten und Protokolle aus Nichtproduktionssystemen. Geben Sie dem CAB gleich in der ersten Fassung alle benötigten Informationen, um seine Arbeit zu erleichtern und die Freigabe zu beschleunigen.

Ermöglichen Sie nach der Freigabe Deployments normaler Änderungen per Klick. Prüfen Sie die Arten normaler Änderungen regelmäßig mit dem CAB. Legen Sie fest, unter welchen Bedingungen das Gremium sie als Standardänderungen akzeptiert. So können Sie in Ihrer DevOps-Organisation die meisten Änderungen automatisiert bereitstellen.

Verringern Sie Bürokratie und Abhängigkeit in Ihrer DevOps-Organisation

Je größer eine Organisation wird, desto mehr Raum findet Bürokratie. Sie kann unbemerkt exponentiell wachsen und dauerhaft bestehen. Wenn eine übergeordnete Stelle Ihre Arbeit freigeben muss, verlieren Sie das Gefühl, selbst handeln zu können und für die Ergebnisse verantwortlich zu sein. Die übergeordnete Stelle scheitert dadurch regelmäßig.

Schließlich braucht auch diese Stelle eine weitere Instanz, auf die sie sich stützt und von der sie geprüft wird. Diese Abwärtsspirale setzt sich bis zur nächsten Umstrukturierung fort. Danach ist es fast zu 100 % wahrscheinlich, dass eine etwas andere Abwärtsspirale die bisherige ersetzt.

Bedenken Sie, dass Aufgabentrennung, Abhängigkeiten und Kontrollen außerhalb Ihres Teams die Bereitstellung verlangsamen, ihre Qualität mindern und Ihre Organisation weniger sicher machen können. Ein großes US-Finanzunternehmen wurde Opfer eines Geldautomatenbetrugs, weil ein Entwickler eine Hintertür in die Software eingebaut hatte. Externe Prüfer, Sicherheitsexperten, Compliance-Beauftragte und Mitglieder des CAB erkannten den betrügerischen Code in den Produktionssystemen nicht. Grundlegende DevOps-Methoden wie die Prüfung von Check-ins und Code-Reviews hätten ihn innerhalb des zuständigen Teams aufdecken können.

Für schnelle und sichere Bereitstellung sollten Sie Abhängigkeiten von anderen und Aufgabentrennung reduzieren, weil sie Ihr DevOps-Team daran hindern, Verantwortung zu übernehmen. Nutzen Sie im Team andere Kontrollen wie die Prüfung von Code-Check-ins, Pair Programming, Peer-Reviews, automatisierte Tests und Überwachung. Wenn Aufgabentrennung gesetzlich vorgeschrieben ist, helfen integrierte Kontrollen den Prüfern und Compliance-Beauftragten dennoch, bessere, fundiertere und schnellere Entscheidungen zu treffen.

FAZIT

DevOps verändert Compliance und Informationssicherheit. Wenn Infrastruktur als Code vorliegt, Systeme durch Code auf- und abgebaut werden und Code automatisiert bereitgestellt wird, lässt sich für Prüfer schwer nachvollziehen, was tatsächlich geschieht. Das ist eine Herausforderung und zugleich eine Chance für schlankere und wirksamere Prüf- und Compliance-Verfahren und entsprechende Rollen.

In Ihrem DevOps-Team sind Informationssicherheit, Compliance und eine schnellere Deployment-Pipeline Aufgabe aller. Ermöglichen Sie Compliance-Beauftragten, Informationen, Protokolle, Berichte und Kennzahlen zur Qualität Ihrer Bereitstellung selbst abzurufen. Das vereinfacht bürokratische Freigaben oder macht sie ganz entbehrlich.