IaC 存储最佳实践

往往一些成功的软件公司在构建解决方案的时候十分注重其可重复性、可审计性、和简便性，而基础设施即代码（IaC）的出现让开发人员能够将这些时间应用于基础设施的分配。目前的存储 IaC 的实践有以下三种：

• IaC 与应用程序和功能代码一起存储
• IaC 单独存储在特定于应用程序的存储库中
• 企业中所有应用程序的所有 IaC 代码存储于同一个存储库中

本文将带你一起讨论这几种 IaC 存储解决方案之间的利弊，并探索符合企业需求的 IaC 存储最佳实践。

IaC 与功能代码一起存储

存储 IaC 最简单直接的方法是将所有 IaC 代码保留在应用程序存储库中，该应用程序存储库将此 IaC 代码用作其 CI/CD 流水线的一部分。这样的存储方式易于设置，不需要复杂的权限分配，并且对使用此代码库的开发人员完全可见，这样就能够轻松检索上下文。这也就是为什么有一部分开发人员选择总是将功能代码和 IaC 存储在同一个 repo 中的原因。但是将 IaC 代码于功能代码存储在一起存在许多问题。

软件开发最佳实践包括最小化冗余。IaC 不仅包含特定于应用程序的分配信息，还包含所有的底层基础设施（底层基础设施就是企业可以跨多个应用程序和生态系统共享的公共基础设施）。此类基础设施的例子包括 Kubernetes 集群和日志存储帐户。

此外，将 IaC 代码与特征代码一起存储会带来安全风险。允许开发人员以管理员级别访问将代码投入生产所需的所有部署脚本违反了最小权限原则，并使设法劫持开发人员帐户的攻击者更容易横向移动。

由于企业的部署过程有一定程度的保密性，部署流水线及其配置也基于企业开发需求定制的，因此也让开发过程具备一定安全性。然而将 IaC 与应用程序的功能代码存储在一起，让拥有企业使用的服务映射的攻击者能够更轻松且成功地发起软件供应链攻击。此外，将 IaC 与功能代码一起存储可能会使代码遭到泄漏，同时泄露所有 CI/CD 配置，不仅会对相关应用程序产生巨大影响，同时也给整个企业造成损失。

这样看来，将 IaC 与产品代码一起存储虽然更容易进行最初设置，但违反了最小特权原则和零信任原则。这种存储代码的方法引入了不必要的安全风险。

所有 IaC 代码存储在一起并不可行

由于将带有功能代码的 IaC 存储在公共存储库中并不是最佳解决方案，那么将所有 IaC 存储在专用 IaC 存储库中怎么样？这样既能够允许 DevOps 和安全团队实施精准的访问控制，也能让代码冗余易于识别和预防。

但这样的存储方法同样会给企业带来一些麻烦。当所有 IaC 都存储在单独的共享存储库中时，很难将功能更改与 IaC 更改相匹配。这种情况会给开发过程许多问题，比如降低开发人员的开发效率，同时增加开发团队、DevOps 团队和安全团队之间的摩擦。

此外，当所有 IaC 被存储在一个公共存储库中，会造成开发人员没有办法控制影响其工作流程的安全决策但问题。在缺乏所有权和修改任何代码特定的部署脚本所需的额外步骤之间，将所有 IaC 存储在一起时，开发人员同样无法快速更改 IaC，有可能还会给企业造成其他不必要的麻烦。

IaC 的类别

IaC 和其他 CI/CD 脚本最终分为两类：基础 IaC 和功能 IaC。

基本部署脚本可以被理解为企业广泛使用的代码，其中包括例行部署操作或与共享资源交互。分离此代码使企业能够将基础 IaC 所有权和维护职责分配给企业的 DevOps 团队，这样操作非常适合维护共享基础设施。

而功能 IaC 脚本是用于配置和管理与特定软件相关的资源的代码段。开发人员经常和与其可交付成果相关的部署脚本进行交互，比如更改发布步骤、修改网关、更新服务器配置和许多其他需求，针对功能 IaC 和基础 IaC 需要使用不同的处理协议。

现在在我们了解了特性和基础 IaC 之间的区别之后，就可以为每个特性定义合适且恰当的管理策略了。

IaC 存储混合解决方案

最佳实践要求对功能 IaC 和基础 IaC 进行不同的分类，并将职责分配给不同的团队，以最大限度地提高安全性，同时不给开发和发布过程增加不必要的摩擦。基础 IaC 应由 DevOps 团队管理，而特定功能的 IaC 则由托管软件的代码所有者即开发人员处理。

为了选择更符合企业需求的 IaC 存储解决方案，需要从盘点企业现有的系统和服务。了解这些资源的共享方式能够帮助企业在做有关 IaC 代码存储的业务决策时提供必要信息，帮助企业最大程度上减少部署协议中的冗余。在定义哪些 IaC 是企业部署的软件基础，哪些 IaC 不是特定于某些应用程序、库和其他软件交付物的时候，可见性（Observability）是不可或缺的。

帮助 DevSecOps 团队管理 IaC

为了帮助企业 DevSecOps 团队更好地管理 IaC，请执行以下最佳实践：

• 跟踪资源，包括镜像仓库、代码存储库、构建和云/IaC 部署
• 实施精准的访问控制，根据资源是要共享的或是特定于应用程序的，可以适当地分配所有权
• 提供对资源使用的可见性，使企业能够严格实施最小特权原则，避免在开发过程中增加不必要的摩擦
• 通过直接与企业软件供应链的组件集成来提供全面的资产清单

实施上述实践，企业可以获得其他安全工具无法提供的具有更高复杂性的洞察能力，同时，也能够帮助企业持续监控安全更新，从而减少从发现 zero-day 漏洞到修补漏洞之间的时间。