CI/CD Pipeline

Bir CI/CD hattı, kodu bir geliştiricinin dizüstü bilgisayarından alıp güvenli bir şekilde kullanıcılara ulaştıran otomatik bir süreçtir. Kodu derler, test eder ve manuel adımlara güvenmeden dağıtır.

Bunu bir yazılım montaj hattı gibi düşünebilirsiniz. İnsanların kodu elden ele geçirip hiçbir şeyin yanlış gitmemesini ummak yerine, hat her şeyi otomatik olarak her seferinde kontrol eder.

TL;DR

• Nedir: Yazılımın yeni sürümlerini göndermek için otomatik bir süreç.
• Sorun: Manuel sürümler yavaş, hataya açık ve genellikle güvenlik kontrollerini atlar.
• Çözüm: CI/CD, derleme, test ve dağıtım sürecini otomatikleştirir, ekiplerin daha hızlı ve daha güvenle sürüm yayınlamasını sağlar.
• Güvenlik neden önemser: Ekiplerin güvenlik açıklarını erken yakalamasını sağlar, üretimden hemen önce değil.

CI/CD Pipeline Nedir?

Bir CI/CD hattı, kodunuzun yazılmasından gerçek müşteriler tarafından kullanılmasına kadar geçen yoldur.

İki ana bölümü vardır:

1. Sürekli Entegrasyon (CI)

Geliştiriciler sık sık kod değişiklikleri yapar. Her yaptıklarında, hat otomatik olarak uygulamayı derler ve yeni kodun hiçbir şeyi bozmadığından emin olmak için testler çalıştırır.

2. Sürekli Teslimat / Dağıtım (CD)

Kod bu kontrolleri geçtiğinde, sürüm için hazırlanır veya doğrudan üretime dağıtılır.

• Teslimat: Kod hazırdır, ancak biri “onayla”ya tıklar.
• Dağıtım: Kod otomatik olarak canlıya geçer.

”Shift Left” Güvenliğinin Nerede Yer Aldığı

Bu, güvenliğin sürecin daha erken aşamalarına taşındığı yerdir. Uygulama yayına girdikten sonra sorunları bulmak yerine, güvenlik kontrolleri kod yazılırken boru hattı içinde çalışır.

Bu, sabit kodlanmış sırlar veya riskli kütüphaneler gibi şeylerin erken, daha ucuz ve daha kolay düzeltilebileceği zaman bulunması anlamına gelir.

Bir CI/CD Boru Hattı Nasıl Çalışır (Adım Adım)

Çoğu boru hattı aynı akışı takip eder:

1. Kaynak: Bir geliştirici kodu GitHub veya GitLab’a gönderir.
2. Yapı: Uygulama oluşturulur ve bağımlılıklar yüklenir.
3. Test: Otomatik testler çalıştırılır, güvenlik kontrolleri dahil.
4. Sahneleme: Uygulama, üretim gibi görünen bir test ortamına dağıtılır.
5. Üretim: Uygulama gerçek kullanıcılara sunulur.

Herhangi bir adımda bir şeyler ters giderse, boru hattı durur.

İlgili Terimler

• DevSecOps
• Shift Left Security
• SAST vs DAST
• Exploit Prediction Scoring System (EPSS)

SSS

Sürekli Teslimat ile Sürekli Dağıtım arasındaki fark nedir?

• Sürekli Teslimat: Her şey otomatikleştirilmiştir, ancak nihai sürümü bir insan onaylar.
• Sürekli Dağıtım: İnsan onayı yoktur. Testler geçerse, kod otomatik olarak yayına girer.

CI/CD neden DevSecOps için önemlidir?

Güvenliği son dakika engelleyici yerine rutin bir kontrol haline getirdiği için. Güvenlik araçları her değişiklikte otomatik olarak çalışır, böylece sorunlar erken bulunur ve daha hızlı düzeltilir.

Yaygın CI/CD araçları nelerdir?

Bazı popüler olanlar Jenkins, GitHub Actions, GitLab CI/CD, CircleCI ve Azure DevOps’tur. Kodunuzu derleyen, test eden ve dağıtan scriptleri çalıştırırlar.

Bir CI/CD hattı başarısız olabilir mi?

Evet, ve bu aslında iyi bir şey. Eğer bir test başarısız olursa veya bir güvenlik sorunu bulunursa, hat durur. Bu, bozuk veya güvensiz kodun kullanıcılara ulaşmasını engeller.

CI/CD kod kalitesini nasıl artırır?

Çünkü her değişiklik hemen test edilir. Hatalar, tanıtıldıktan dakikalar sonra yakalanır, haftalar sonra değil. Bu, ana kod tabanını istikrarlı tutar ve sorunları düzeltme süresini azaltır.