लिखित DevOps प्रशिक्षण
अपनी DevOps डिप्लॉयमेंट पाइपलाइन की सुरक्षा कैसे करें?
पहले के सिद्धांत अपनाकर निरंतर डिलीवरी के लिए काम करने वाली पाइपलाइन बन जाए, तो आपकी टीम कम जोखिम वाले प्रोडक्शन डिप्लॉयमेंट बाहरी अनुमोदन के बिना कर सकती है। अधिकांश डिप्लॉयमेंट को बदलाव अनुमोदन से गुज़रना नहीं पड़ता। आप बाहरी प्राधिकरणों पर निर्भर रहने की बजाय डिलीवरी के अच्छे डिज़ाइन, ऑटोमेटेड टेस्ट, निगरानी और सही चेतावनी पर भरोसा करते हैं। सुरक्षा और अनुपालन फिर भी टीम की अहम ज़िम्मेदारी हैं, कानून का पालन करने और ग्राहकों का ध्यान रखने के लिए। संगठन के सुरक्षा और अनुपालन विशेषज्ञों के साथ काम जारी रखें। लागू कानूनों के अनुसार सुरक्षित सिस्टम डिज़ाइन करना रोज़ की आदत बनाएँ।
प्रोडक्शन सिस्टम में बदलाव के प्रकार
- मानक बदलाव: कम जोखिम वाले बदलाव, जिनके लिए अनुमोदन नहीं चाहिए। वे पूरी तरह ऑटोमेट और लॉग होते हैं, इसलिए जल्दी डिप्लॉय किए जा सकते हैं। डेटाबेस लुकअप टेबल, सामग्री और स्टाइल के अपडेट या ऑपरेटिंग सिस्टम, डेटाबेस और अन्य बाहरी कंपोनेंट के मानक पैच इसके उदाहरण हैं।
- सामान्य बदलाव: ज़्यादा जोखिम वाले बदलाव, जिनके लिए Change Advisory Board (CAB) की मंज़ूरी चाहिए। आकलन के लिए CAB बदलाव का अनुरोध (RFC) माँगता है। इसके सदस्यों को अक्सर बदलाव जाँचने की पर्याप्त जानकारी नहीं होती, इसलिए लीड टाइम लंबा होता है। वे बदलाव रोककर अपने अनुभव, अनुमान और अनुरोध करने वाले व्यक्ति के बारे में अपने झुकाव के आधार पर फ़ैसला करते हैं।
- तत्काल बदलाव: ज़्यादा जोखिम वाले बदलाव, जिनके लिए वरिष्ठ प्रबंधन की मंज़ूरी चाहिए। ग्राहकों पर असर डालने वाली प्रोडक्शन त्रुटियाँ, समस्याग्रस्त डिप्लॉयमेंट के सुधार, सुरक्षा पैच और सेवा की बहाली इसके उदाहरण हैं।
बदलाव किसी भी प्रकार का हो, Remedy और Jira जैसे बदलाव प्रबंधन और योजना सिस्टम में उसे दर्ज करें, ताकि टीम के भीतर और बाहर सभी को काम दिखे।
सफल ऑटोमेटेड डिप्लॉयमेंट का रिकॉर्ड इस्तेमाल करके सामान्य बदलावों को मानक बनाएँ
सामान्य बदलावों के मुकाबले मानक बदलावों का अनुपात बढ़ाकर CAB की मंज़ूरी से बच सकते हैं और पाइपलाइन का प्रवाह और गुणवत्ता बेहतर कर सकते हैं।
आप और आपकी टीम अपने सफल ऑटोमेटेड डिप्लॉयमेंट के पिछले रिकॉर्ड से जितने संभव हों उतने सामान्य बदलावों को मानक बनाएँ। CAB को डिप्लॉयमेंट का इतिहास और प्रोडक्शन घटनाओं की सूची दिखाएँ। साबित करें कि ऑटोमेटेड डिप्लॉयमेंट से कोई घटना नहीं या सिर्फ़ मामूली घटनाएँ होती हैं।
सामान्य बदलावों की डिप्लॉयमेंट तेज़ करें
जिन बदलावों का सामान्य रहना ज़रूरी है, उनके RFC बनाने की प्रक्रिया ऑटोमेट करें। ऑटोमेटेड और मैन्युअल टेस्ट परिणाम, हल हुई और खुली घटनाएँ, निगरानी रिकॉर्ड और गैर-प्रोडक्शन लॉग RFC में जोड़ें। CAB को ज़रूरी जानकारी पहले ही संस्करण में दें, ताकि उसका काम आसान हो और मंज़ूरी जल्दी मिले।
मंज़ूरी के बाद सामान्य बदलाव एक क्लिक में डिप्लॉय करने की सुविधा दें। CAB के साथ नियमित तौर पर सामान्य बदलावों के प्रकार देखें और तय करें कि किन शर्तों पर उन्हें मानक माना जा सकेगा। इससे संगठन में ज़्यादातर बदलाव ऑटोमेटेड ढंग से डिप्लॉय होंगे।
DevOps संगठन में नौकरशाही और दूसरों पर निर्भरता कम करें
संगठन जितना बड़ा होता है, नौकरशाही को उतनी जगह मिलती है। यह चुपचाप घातीय रूप से बढ़कर हमेशा रह सकती है। अपने काम के अनुमोदन के लिए ऊपर की सत्ता और नियंत्रण पर निर्भर हों, तो खुद को निर्णय लेने में सक्षम और नतीजों के लिए ज़िम्मेदार महसूस नहीं करते। इससे ऊपर का प्राधिकरण नियमित रूप से विफल होता है।
फिर उस प्राधिकरण को भी निर्भर रहने और ऑडिट के लिए एक और प्राधिकरण चाहिए होगा। कंपनी के अगले पुनर्गठन तक यह गिरावट बढ़ती रहती है। उसके बाद करीब 100% संभावना है कि थोड़ा अलग दुष्चक्र उसकी जगह ले लेगा।
याद रखें कि कर्तव्य बाँटने और टीम के बाहर नियंत्रण पर निर्भर रहने से डिलीवरी धीमी और उसकी गुणवत्ता कम होती है। संगठन भी कम सुरक्षित होता है। एक बड़ी अमेरिकी वित्तीय संस्था ATM धोखाधड़ी का शिकार हुई, क्योंकि डेवलपर ने ATM सॉफ़्टवेयर में बैकडोर बनाया था। बाहरी ऑडिटर, सुरक्षा विशेषज्ञ, अनुपालन अधिकारी या CAB सदस्य प्रोडक्शन में डिप्लॉय धोखाधड़ी वाला कोड पहचान नहीं पाए। उसे बनाने वाली टीम में चेक-इन के निरीक्षण और कोड समीक्षा जैसी बुनियादी DevOps तकनीकों से इसे पहचाना जा सकता था।
तेज़ और सुरक्षित डिलीवरी के लिए दूसरों पर निर्भरता और कर्तव्यों का अलगाव कम करें, क्योंकि वे टीम को ज़िम्मेदारी लेने से रोकते हैं। टीम में चेक-इन का निरीक्षण, पेयर प्रोग्रामिंग, सहकर्मी समीक्षा, ऑटोमेटेड टेस्ट और निगरानी जैसे नियंत्रण अपनाएँ। कानून से कर्तव्य अलग करना अनिवार्य हो, तो भी टीम के नियंत्रण ऑडिटर और अनुपालन अधिकारियों को जल्दी और बेहतर जानकारी पर फ़ैसला करने देते हैं।
निष्कर्ष
DevOps अनुपालन और सूचना सुरक्षा का तरीका बदलता है। इन्फ़्रास्ट्रक्चर कोड में हो, सिस्टम कोड से बनें और हटें और कोड अपने आप डिप्लॉय हो, तो ऑडिटर के लिए समझना आसान नहीं कि क्या हो रहा है। यह नई चुनौती और ऑडिट व अनुपालन की ज़्यादा कुशल पद्धतियाँ और भूमिकाएँ बनाने का अवसर भी है।
सूचना सुरक्षा, अनुपालन और तेज़ पाइपलाइन टीम के सभी लोगों का काम है। अनुपालन अधिकारियों को सेल्फ़-सर्विस से ऐसी जानकारी, लॉग, रिपोर्ट और मेट्रिक्स देखने दें जो डिलीवरी की गुणवत्ता साबित करते हैं। इससे नौकरशाही वाले अनुमोदन आसान हो सकते हैं या हट सकते हैं।
