# SEC11-BP07 定期评测管道的安全属性
<a name="sec_appsec_regularly_assess_security_properties_of_pipelines"></a>

 对您的管道运用 Well-Architected 安全性支柱原则，尤其注意权限分离。定期评测管道基础设施的安全属性。通过有效管理管道*的*安全性，可以确保*通过*管道的软件的安全性。

 **期望结果：**用于构建和部署软件的管道遵循与环境中任何其它工作负载相同的建议做法。您在管道中实施的测试不可由使用这些测试的团队编辑。您只向管道授予它们使用临时凭证执行的部署所需的权限。您可以实施安全措施来防止将管道部署到错误的环境中。您可以将管道配置为发出状态，以便可以验证构建环境的完整性。

**常见反模式：**
+  构建者可以绕过安全测试。
+  用于部署管道的权限过于宽松。
+  未将管道配置为验证输入。
+  不定期审查与 CI/CD 基础设施关联的权限。
+  使用长期或硬编码凭证。

**建立此最佳实践的好处：**
+  对通过管道构建和部署的软件的完整性有了更大的信心。
+  在出现可疑活动时可以停止部署。

** 在未建立这种最佳实践的情况下暴露的风险等级：**高 

## 实施指导
<a name="implementation-guidance"></a>

 部署管道是软件开发生命周期的关键组成部分，应遵循与环境中任何其它工作负载相同的安全原则和做法。这包括实施适当的访问控制、验证输入，以及定期审查和审计与 CI/CD 基础设施关联的权限。

 确认负责构建和部署应用程序的团队无法编辑或绕过在管道中实施的安全测试和检查。这种关注点分离有助于维护构建和部署过程的完整性。

 首先，可以考虑使用 [AWS Deployment Pipelines Reference Architecture](https://aws.amazon.com/blogs/aws/new_deployment_pipelines_reference_architecture_and_-reference_implementations/)。此参考架构为在 AWS 上构建 CI/CD 管道提供了安全且可扩展的基础。

 此外，可以使用 [AWS Identity and Access Management Access Analyzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/what-is-access-analyzer.html) 等服务为管道权限生成最低权限 IAM 策略，并作为管道中验证工作负载权限的一个步骤。这有助于验证管道和工作负载是否仅具有其特定功能所需的必要权限，从而降低未经授权的访问或操作的风险。

### 实施步骤
<a name="implementation-steps"></a>
+  从 [AWS 部署管道参考架构](https://aws.amazon.com/blogs/aws/new_deployment_pipelines_reference_architecture_and_-reference_implementations/)开始。
+  考虑使用 [AWS IAM Access Analyzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/what-is-access-analyzer.html) 以编程方式生成管道的最低权限 IAM 策略。
+  将管道与监控和警报集成在一起，以便在发生意外或异常活动时您会得到通知，对于 AWS 托管式服务，[Amazon EventBridge](https://aws.amazon.com/eventbridge/) 支持您将数据路由到目标，例如 [AWS Lambda](https://aws.amazon.com/lambda/) 或 [Amazon Simple Notification Service](https://aws.amazon.com/sns/)（Amazon SNS）。

## 资源
<a name="resources"></a>

 **相关文档：**
+  [AWS 部署管道参考架构](https://aws.amazon.com/blogs/aws/new_deployment_pipelines_reference_architecture_and_-reference_implementations/) 
+  [监控 AWS CodePipeline](https://docs.aws.amazon.com/codepipeline/latest/userguide/monitoring.html) 
+  [ 的安全最佳实践AWS CodePipeline](https://docs.aws.amazon.com/codepipeline/latest/userguide/security-best-practices.html) 

 **相关示例：**
+  [DevOps 监控控制面板](https://github.com/aws-solutions/aws-devops-monitoring-dashboard)（GitHub）