# Co je zabezpečení pipeline CI/CD?

> Zabezpečení pipeline CI/CD (continuous integration and continuous delivery or deployment pipeline security) je ochrana systémů, identit, kódu, závislostí, instrukcí, exekučních prostředí a artefaktů používaných k buildu, testování, schvalování a vydávání softwaru.

- Kanonická URL: https://yellowcube.eu/cs/glossary/continuous-integration-and-continuous-delivery-or-deployment-pipeline-security/
- Vydavatel: Yellow Cube
- Jazyk: cs
- Kontakt: hello@yellowcube.eu

## Obsah

Jejím účelem je předcházet neautorizovaným změnám, krádeži přihlašovacích údajů, nedůvěryhodnému provádění, substituci artefaktů a zneužití často výkonného přístupu pipeline ke zdrojovým repozitářům a produkčním prostředím.

Pipeline by měla být považována za produkční řídicí rovinu. Zabezpečení zahrnuje pravidla repozitářů, automatizační služby, runnery, plug-iny, tajné údaje, build vstupy, úložiště artefaktů, služby podepisování či atestací, schválení vydání, přihlašovací údaje nasazení, logování a obnovu — nikoli pouze kontroly vložené do buildu.

### Klíčové body

- **Identita a řízení toků:** Oddělte lidské a úlohové identity, uplatňujte nejmenší oprávnění, chraňte administrativní změny, vyžadujte vhodný přezkum či schválení a omezte, které události, větve a aktéři mohou spouštět privilegované úlohy.
- **Provádění a závislosti:** Izolujte úlohy, preferujte efemerní workery, pinujte či ověřujte externí akce a nástroje, omezujte síťový přístup a zabraňte nedůvěryhodným příspěvkům získávat citlivé přihlašovací údaje.
- **Integrita artefaktů:** Važte výstupy na přezkoumaný zdroj a build instrukce, zaznamenávejte provenienci, chraňte podpisový materiál, ověřujte artefakty před propagací a uchovávejte důkazy odolné vůči manipulaci pro vyšetřování.
- **Důležité omezení:** Chráněná pipeline nezakládá, že software, který vydává, je prost bezpečnostních defektů. Naopak přidání aplikačních skenerů nezabezpečuje identity pipeline, runnery, řídicí rovinu či cestu artefaktů, které by mohly jejich výsledky pozměnit či obejít.

### Související termíny

[DevSecOps](<https://yellowcube.eu/cs/glossary/devsecops/>) · [Zabezpečení dodavatelského řetězce softwaru](<https://yellowcube.eu/cs/glossary/software-supply-chain-security/>) · [Seznam softwarových komponent (SBOM)](<https://yellowcube.eu/cs/glossary/software-bill-of-materials/>) · [Správa tajných údajů](<https://yellowcube.eu/cs/glossary/secrets-management/>) · [Zabezpečení infrastruktury jako kódu (IaC)](<https://yellowcube.eu/cs/glossary/infrastructure-as-code-security/>) · [Shift-left zabezpečení](<https://yellowcube.eu/cs/glossary/shift-left-security/>)

### Zdroje

[NIST SP 800-204D: Software Supply Chain Security in DevSecOps CI/CD Pipelines](https://csrc.nist.gov/pubs/sp/800/204/d/final) · [OWASP CI/CD Security Cheat Sheet](https://cheatsheetseries.owasp.org/cheatsheets/CI_CD_Security_Cheat_Sheet.html) · [SLSA Specification 1.2](https://slsa.dev/spec/v1.2/)

## Pojďme budovat chytřejší kybernetickou obranu Společně

Dlouhodobá partnerství stavíme na důvěře, odbornosti a společném úspěchu. Ať chcete rozvíjet své podnikání, rozšířit nabídku kybernetické bezpečnosti nebo uvést inovativní řešení na nové trhy, v Yellow Cube najdete spolehlivého partnera.

[Spojte se s Yellow Cube](<mailto:hello@yellowcube.eu?subject=Partnership>)

## Uvedení zdroje a rozsah

Tato verze Markdown vzniká ze stejných schválených záznamů jako kanonická stránka HTML. Při citování použijte kanonickou adresu.