Транснациональный производитель кондитерских изделий

Команда ICL Services выполнила внедрение мультитенантной DevOps платформы для размещения приложений подрядчиков на базе Yandex Cloud.

Преимущественно PaaS сервисы используются для платформы (Managed PostgreSQL\MySQL, управляемый OpenSearch, управляемый Kubernetes, Audit Trails, Managed Kafka и т.п.).

Разворачивание инфраструктуры – это автоматический процесс (используется подход IaC и решения Terraform, GitLab, Ansible). При онбоардинге нового агентства запускатеся пайплайн, который через Terraform создает отдельное изолированное облако с необходимым ресурсами – общими для всех сайтов являются среды разработки и тестирования, реестр контейнеров, управляемые СУБД.

При онбординге нового сайта или приложения создаются дополнительные ресурсы:

—  изолированные среды для QA и продуктивного контура (Kuberenets кластера управляемые СУБД; реестр контейнеров; Lockbox; и т.п.);

—  в GitLab создается выделенные группа, добавляются необходимые шаблоны проектов и CI\CD пайплайнов.

Архитектура сайтов и приложений основывается на микросервисах, поэтому следующие задачи также автоматически выполнялись для каждой новой среды через пайплайн:

—  установка Ingress контроллера, helm, S3 CSI драйвера, FluentBit коллектора, Cosign для проверки подписи контейнерных образов;

—  интеграция с Lockbox, Container Registry и т.д.

DevSecOps-пайплайн включал реализацию следующих блоков:

—  SAST (Static Application Security Testing),

—  SCA (Software Composition Analysis),

—  DAST (Dynamic Application Security Testing),

—  сканирование образов контейнеров на наличие уязвимостей.

Кроме того, выполнялась автоматическая публикация результирующих отчётов безопасности в единую Security Dashboard – инструмент Defect Dojo.  

Публикация приложения в продуктивную среду была возможна только после успешного прохождения каждого этапа сканирования или изучения соответствующих отчётов безопасности.