第1章 Red Hat Trusted Application Pipeline について

高度なアプリケーションには、複雑なソフトウェアサプライチェーンがあります。ソフトウェアサプライチェーンが長くなるほど、あらゆる種類の攻撃に対して脆弱になります。Red Hat Trusted Application Pipeline (RHTAP) では、ソフトウェア開発ライフサイクルのすべてのフェーズを保護します。RHTAP は、セキュアな CI/CD を使用してソースコードをビルド、テスト、デプロイ、監視することができ、包括的なセキュリティーツールセットによりソフトウェアサプライチェーン全体を保護します。

対象ユーザー

プラットフォームエンジニア、アプリケーション開発者、またはセキュリティーチームのメンバーが対象者です。Red Hat Trusted Application Pipeline には、社内開発者ポータルをインストール、設定、カスタマイズして、開発ライフサイクル全体のソフトウェアサプライチェーンを保護するために必要なものがすべて揃っています。

仕組み

Red Hat Trusted Application Pipeline (RHTAP) を使用すると、DevSecOps CI/CD プロセス全体を効率し、保護することができます。

最初からセキュアな開発

RHTAP をインストールして設定したら、Red Hat Developer Hub 内から構築済みのセキュアなテンプレートにアクセスします。すぐに使用できる適切なソフトウェアテンプレートを選択し、必要な詳細を入力して、新しいアプリケーションを作成します。これにより、コードリポジトリー (ソースコードと GitOps リポジトリー)、技術ドキュメント、継続的インテグレーション/継続的デリバリー (CI/CD) パイプラインなど、必要なものをすべて備えた専用の開発環境が作成されます。

開発ライフサイクル全体にわたるセキュリティースキャン

ソースコードを編集すると、アプリケーション内でパイプライン実行がトリガーされます。このパイプラインにより、すべてのビルドアーティファクトが署名およびアテストされ、信頼性が確認されます。また、コード内の脆弱性がスキャンされ、Software Bill of Materials (SBOM) が自動的に生成されます。この SBOM には、コンテナーイメージに含まれるすべてのコンポーネント、ライブラリー、依存関係の詳細が記載されており、アプリケーションの構成の完全な透明性が確保されます。

確認、改良、リリース

パイプラインにより、特定された脆弱性が提示されるため、脆弱性を確認して修復できます。また、SBOM を確認すると、アプリケーションのコンポーネントをより深く理解できます。アプリケーションは、プロモートのワークフローに応じて、開発環境、ステージング環境、そして最終的に実稼働環境へとプロモートできます。プロモートするたびに、また別のパイプライン実行がトリガーされ、脆弱性のスキャンと Enterprise Contract (EC) の適用が実行されます。EC は、リリース前に、事前に定義された品質およびセキュリティー標準をコンテナーイメージが満たしていることを確認します。イメージがこの基準を満たしていないと、EC は必要な修正内容を示す詳細なレポートを発行します。

RHTAP を使用したこのような効率的なアプローチにより、開発者は開発ライフサイクル全体を通じて最高レベルのセキュリティー標準を維持しながらイノベーションに集中できます。

RHTAP の仕組みをよりよく理解するには、RHTAP をサポートする、または RHTAP によってサポートされるさまざまなコンポーネントとテクノロジーについて説明した次のリストを参照してください。