# Czym jest bezpieczeństwo potoków CI/CD?

> Bezpieczeństwo potoków ciągłej integracji i ciągłego dostarczania lub wdrażania (CI/CD) to ochrona systemów, tożsamości, kodu, zależności, instrukcji, środowisk wykonawczych i artefaktów używanych do budowania, testowania, zatwierdzania i wydawania oprogramowania.

- Kanoniczny adres URL: https://yellowcube.eu/pl/glossary/continuous-integration-and-continuous-delivery-or-deployment-pipeline-security/
- Wydawca: Yellow Cube
- Język: pl
- Kontakt: hello@yellowcube.eu

## Treść

Jego celem jest zapobieganie nieautoryzowanym zmianom, kradzieży poświadczeń, niezaufanemu wykonaniu, podstawianiu artefaktów i nadużyciu często potężnego dostępu potoku do repozytoriów źródłowych i środowisk produkcyjnych.

Potok powinien być traktowany jak produkcyjna płaszczyzna sterowania. Bezpieczeństwo obejmuje reguły repozytorium, usługi automatyzacji, runnery, wtyczki, sekrety, wejścia budowy, magazyny artefaktów, usługi podpisywania lub atestacji, zatwierdzenia wydań, poświadczenia wdrożeniowe, logowanie i odtwarzanie — nie tylko kontrole wstawione do budowy.

### Najważniejsze punkty

- **Tożsamość i kontrola przepływu:** Oddzielaj tożsamości ludzkie i obciążeń, stosuj zasadę minimalnych uprawnień, chroń zmiany administracyjne, wymagaj odpowiedniego przeglądu lub zatwierdzenia oraz ograniczaj, które zdarzenia, gałęzie i aktorzy mogą wyzwalać uprzywilejowane zadania.
- **Wykonanie i zależności:** Izoluj zadania, preferuj efemerycznych pracowników, przypinaj lub weryfikuj zewnętrzne akcje i narzędzia, ograniczaj dostęp sieciowy oraz zapobiegaj otrzymywaniu przez niezaufane wkłady wrażliwych poświadczeń.
- **Integralność artefaktów:** Wiąż wyjścia z przejrzanym źródłem i instrukcjami budowy, rejestruj pochodzenie, chroń materiał podpisujący, weryfikuj artefakty przed promocją i zachowuj odporne na manipulację dowody do dochodzenia.
- **Istotne ograniczenie:** Chroniony potok nie potwierdza, że wydawane przez niego oprogramowanie jest wolne od defektów bezpieczeństwa. Odwrotnie, dodanie skanerów aplikacyjnych nie zabezpiecza tożsamości potoku, runnerów, płaszczyzny sterowania ani ścieżki artefaktów, które mogłyby zmienić lub ominąć ich wyniki.

### Powiązane terminy

[DevSecOps](<https://yellowcube.eu/pl/glossary/devsecops/>) · [Bezpieczeństwo łańcucha dostaw oprogramowania](<https://yellowcube.eu/pl/glossary/software-supply-chain-security/>) · [Wykaz komponentów oprogramowania (SBOM)](<https://yellowcube.eu/pl/glossary/software-bill-of-materials/>) · [Zarządzanie sekretami](<https://yellowcube.eu/pl/glossary/secrets-management/>) · [Bezpieczeństwo infrastruktury jako kodu (IaC)](<https://yellowcube.eu/pl/glossary/infrastructure-as-code-security/>) · [Shift-left security](<https://yellowcube.eu/pl/glossary/shift-left-security/>)

### Źródła

[NIST SP 800-204D: Software Supply Chain Security in DevSecOps CI/CD Pipelines](https://csrc.nist.gov/pubs/sp/800/204/d/final) · [OWASP CI/CD Security Cheat Sheet](https://cheatsheetseries.owasp.org/cheatsheets/CI_CD_Security_Cheat_Sheet.html) · [SLSA Specification 1.2](https://slsa.dev/spec/v1.2/)

## Budujmy skuteczniejszą cyberobronę razem

Budujemy trwałe partnerstwa oparte na zaufaniu, wiedzy i wspólnych sukcesach. Chcesz rozwijać firmę, poszerzyć ofertę cyberbezpieczeństwa lub wprowadzić innowacyjne rozwiązania na nowe rynki? Yellow Cube wspiera Cię na każdym z tych etapów.

[Skontaktuj się z Yellow Cube](<mailto:hello@yellowcube.eu?subject=Partnership>)

## Źródło i zakres informacji

Ta wersja Markdown jest generowana z tych samych zatwierdzonych treści co kanoniczna strona HTML. Przy cytowaniu użyj kanonicznego adresu URL.