华为云DevSecOps和DevOps

1.华为云DevSecOps和DevOps

1.1 DevSecOps

1.1.1 核心功能

1.1.2 优势

1.2 DevOps

1.2.1 核心功能

1.2.2 优势

1.3 DevOps和DevSecOps的区别

1.3.1 安全性集成

1.3.2 自动化的安全工具

1.3.3 团队协作

1.3.4 质量与合规性

1.3.5 成本与风险管理

1.3.5 总结

2.DevSecOps质量效能现状和方法论模型

2.1 DevSecOps质量效能现状

2.2 DevSecOps质量效能方法论模型

2.2.1 模型的五个关键要素：

2.2.2 华为云质量效能飞轮

2.2.3 模型的关键特点

3.基于价值流创造的华为云DevSecOps质量效能体系及特点

3.1 价值流定义

3.2 价值流实现

3.3 价值衡量

3.4 价值驱动风险管控

3.5 价值循环优化

3.6 总结：

1.华为云DevSecOps和DevOps

1.1 DevSecOps

华为云的DevSecOps是一种集成开发、安全和运维的敏捷实践，旨在通过将安全性融入软件开发生命周期的各个阶段，确保应用的高效交付和安全性。这与传统的DevOps不同，因为它不仅关注开发和运维的协作，还在整个过程中加强了对安全性的考虑。

1.1.1 核心功能

自动化流水线：华为云的DevSecOps可以通过流水线的自动化来快速交付应用，减少手动操作，提升开发效率。
安全检测和监控：在每个开发环节中集成了安全扫描工具，如代码审查、漏洞扫描、依赖库检查等，确保从源头上降低安全风险。
合规管理：华为云平台提供了一系列合规性工具，帮助企业遵循行业标准和法规要求。
持续集成与持续交付 (CI/CD)：通过CI/CD工具链实现代码的自动化构建、测试、部署，确保应用快速迭代并保持高质量。
全栈安全防护：涵盖应用安全、网络安全、数据安全等多个层面的防护，帮助企业应对复杂的网络威胁。

1.1.2 优势

增强安全性：将安全性嵌入开发过程，减少后期漏洞修复的成本。
提升交付效率：借助自动化工具和流程，提高开发速度和生产效率。
可视化监控：提供实时的可视化监控和报告，方便开发团队及时发现问题并进行调整。

1.2 DevOps

DevOps 是一种结合软件开发和IT运维的实践，旨在通过自动化工具和团队协作，加速软件交付、提升质量并减少软件生命周期中的故障。它强调开发、测试和运维团队的紧密合作，实现持续集成和持续交付（CI/CD）。

1.2.1 核心功能

持续集成（CI）：开发人员频繁将代码集成到共享代码库中，自动测试和验证代码。
持续交付（CD）：通过自动化部署，将经过测试的代码快速部署到生产环境或预生产环境中。
基础设施自动化：使用工具自动管理服务器、网络等基础设施，减少手动操作。
监控与日志分析：实时监控应用和基础设施的运行情况，快速发现并解决问题。

1.2.2 优势

加快交付速度：通过自动化缩短开发周期，快速推送新功能。
提高质量：自动化测试和监控减少人为错误，确保软件稳定性。
增强协作：开发与运维团队密切协作，提高效率，减少沟通障碍。
提升可靠性：通过实时监控和快速响应机制，减少系统故障和停机时间。

1.3 DevOps和DevSecOps的区别

1.3.1 安全性集成

DevOps：传统的DevOps主要关注开发（Development）和运维（Operations）的协作，通过自动化流程和持续集成/持续交付（CI/CD）来提高软件开发和交付的效率。安全性通常是在开发后期或运维阶段才考虑到的，容易在软件发布后出现安全漏洞。
DevSecOps：DevSecOps在DevOps的基础上，将安全性嵌入到整个开发流程中，从开发的最早阶段开始就考虑安全问题。这种做法确保了在系统演进过程中，安全性不是后续的补救措施，而是贯穿整个开发生命周期。

1.3.2 自动化的安全工具

DevOps：更多侧重于自动化开发和运维流程中的集成、测试和部署，以提高开发效率。
DevSecOps：除了自动化开发和运维工具，DevSecOps还集成了自动化安全工具，如代码安全扫描、漏洞检测、依赖性分析等，确保安全性和质量同步提升。

1.3.3 团队协作

DevOps：核心是开发和运维团队的协作，通过共享工具和流程来提高跨部门沟通和工作效率。
DevSecOps：在此基础上，安全团队也参与其中，形成了开发、运维和安全三者的紧密合作，使安全成为与开发和运维同等重要的一部分。

1.3.4 质量与合规性

DevOps：主要关注交付的速度和效率，确保产品能够快速迭代并满足业务需求。
DevSecOps：除了关注交付效率，DevSecOps更加注重安全质量和合规性，确保软件在快速迭代的同时，能够符合行业标准和法规的要求，避免安全漏洞和合规性问题。

1.3.5 成本与风险管理

DevOps：因为安全性是在后期才考虑的，一旦出现安全问题，修复的成本较高，且可能带来严重的业务中断和风险。
DevSecOps：通过在开发过程中及早发现和解决安全问题，降低了后期修复的成本和安全风险，提高了整个开发生命周期的可控性。

1.3.5 总结

DevOps注重开发和运维的协作以及提高软件交付效率，而DevSecOps则将安全性整合进了整个软件开发和运维流程，使得系统在不断演进中能保持高效的交付能力，同时确保系统的安全性和质量。这使得DevSecOps更适合现代复杂的应用场景，尤其是在对安全性有高要求的行业或领域。

2.DevSecOps质量效能现状和方法论模型

2.1 DevSecOps质量效能现状

价值交付与竞争力：企业必须识别出高价值的产品特性，确保能快速交付满足客户需求的功能。虽然许多企业已经加快了开发流程，但大多数只关注开发速度，忽视了质量和运维效率，这会导致产品缺乏真正的竞争力。
工具链和组织结构的挑战：许多企业在DevSecOps工具的使用和团队协作中存在技术和管理壁垒，导致开发过程中出现“墙”现象。要解决这些问题，需要对DevSecOps的工具链和流程进行全面优化。
价值衡量与监控：通过自动化工具和数据收集，企业可以监控产品交付的质量和效率，但仍然面临如何科学衡量价值创造的问题。
新领域和最佳实践：通过降低传统流程中的摩擦，企业可以探索新的增长领域，持续提升价值交付，并在整个产品生命周期中确保高质量和高效能。
持续改进的策略：企业应从流程、工具、组织等方面持续改进，以提升整体效能。例如，采取以客户为中心的开发实践和DevSecOps工具的全面部署来实现高效价值交付。

2.2 DevSecOps质量效能方法论模型

2.2.1 模型的五个关键要素：

价值定义：
- 通过明确的目标定义来识别企业或团队想要实现的核心价值。这个阶段专注于识别客户和业务需求，确保开发的方向和交付的目标与业务需求一致。
- 典型活动包括：价值的目标设定、需求梳理和优先级排序。
价值流管理：
- 这一阶段通过识别和优化从需求到交付的整个价值流，使得开发、运维和安全团队能更高效地合作，消除不增值的活动，降低浪费，并提高整体流程的敏捷性。
- 典型活动包括：跨团队协作、流程优化、自动化工具的应用。
价值感知：
- 通过持续监控和反馈，及时感知系统的质量和效能表现。这个阶段通过工具、数据和反馈环路实时监控开发进度、产品质量和安全性，确保在发现问题时能及时响应。
- 典型活动包括：实时监控、数据收集与分析、质量报告生成。
价值实现：
- 确保所定义的价值能够通过系统的开发和运维过程落地，并最终交付给客户。这个阶段关注的是价值从设想到实现的具体落地过程，确保开发出的产品符合预期的质量和功能要求。
- 典型活动包括：交付管理、测试和部署、客户反馈收集。
价值增值：
- 不断通过反馈和优化来提升整个价值链的效率和效能。通过对现有流程的诊断和改进，提升整体的质量、效率和客户满意度。每次迭代都通过对数据的深度分析，找到可以进一步优化的地方。
- 典型活动包括：流程改进、效率提升、创新和持续优化。

2.2.2 华为云质量效能飞轮

图片中展示的“质量效能飞轮”是整个模型的核心，强调通过诊断、改进、数据和作业四个循环步骤，持续推动效率和质量的提升。这种循环式改进方法确保了每个迭代都能积累更多的数据和经验，逐步提高组织的开发和运维能力。

诊断：通过对当前流程、产品质量和效能的诊断，识别出存在的瓶颈和问题。
改进：根据诊断结果，进行针对性的改进，优化开发流程和工具。
数据：实时收集和分析相关数据，确保每次迭代后的改进都是基于实际数据支持的。
作业：将改进措施付诸实践，并不断评估其有效性，确保其能够产生预期的效果。

2.2.3 模型的关键特点

聚焦于价值：从需求到交付的整个过程围绕价值展开，确保所有的开发工作都是在创造客户价值。
质量与效能并重：不仅关注速度，还关注交付产品的质量，通过有效的监控和反馈确保高质量。
全面的流程监控：通过诊断和数据分析实时跟踪流程，持续优化开发和运维的每一个环节。
跨团队协作：通过团队之间的紧密合作来提升效率，特别是在安全和开发的紧密结合上做得更好。
持续改进：基于数据的不断反馈，持续对流程和质量进行优化，实现长期的高效能和高质量交付。

这一模型能够帮助企业在复杂的DevSecOps实践中，通过系统化的流程和反馈环节，确保高效能、高质量的价值交付。

3.基于价值流创造的华为云DevSecOps质量效能体系及特点

（图片来源于华为文档）

3.1 价值流定义

华为云的DevSecOps质量效能体系从“价值流”的角度出发，贯穿产品交付的全过程。通过持续的DevSecOps实践，确保每个环节无缝对接，保证开发、运维和安全的全面协作。SRE（站点可靠性工程）与运维团队通过自动化管理、监控和无缝发布来支撑系统的稳定性与高效交付。

3.2 价值流实现

华为云DevSecOps通过两种途径实现质量效能的“快速交付”：

自动化质量门检查：通过自动化工具快速检查产品的质量缺陷并及时修复，确保产品在早期就能被准确识别并解决问题。
服务部署与质量保障：通过合理的部署计划和服务发布策略，确保产品和服务的持续发布与迭代更新。通过在线质量保证系统，如PRR（生产就绪审查）和ORR（运营就绪审查），持续监控质量状况，确保交付过程中的质量问题最小化。