Harness、DevSecOps向けに新アーティファクトレジストリを発表

Harness は、モダンな DevSecOps パイプライン内でソフトウェアアーティファクトの保存、セキュリティ確保、ガバナンスを簡素化するために設計されたプラットフォーム機能である Harness Artifact Registry の一般提供を開始しました。アーティファクトリポジトリをスタンドアロンのインフラコンポーネントとして扱うのではなく、新しいレジストリはアーティファクト管理をソフトウェアデリバリープラットフォーム内に直接埋め込み、セキュリティポリシー、ガバナンス制御、CI/CD ワークフローが単一のシステム内で動作できるようにしています。 コンテナイメージ、ライブラリ、コンパイルされたビルド出力などのアーティファクトは、現代のソフトウェアサプライチェーンの中核をなすものです。CI パイプラインで生成され、デプロイ環境を通じてプロモートされ、開発チーム間で再利用されます。しかし、多くの組織では依然として、ビルドやデプロイパイプラインから切り離された別々のツールでアーティファクトを管理しています。この断片化されたアーキテクチャは、アーティファクトの公開、取得、スキャン、ガバナンスのために複数のシステム間を行き来することをチームに強いることが多く、運用複雑性を増大させ、サプライチェーンの可視性を弱めています。 Harness のアプローチは、ソフトウェアデリバリーライフサイクル内の制御ポイントとしてアーティファクトレジストリを扱うことで、この断片化に対処することを目指しています。このモデルでは、アーティファクトはそれらを構築・デプロイするのと同じプラットフォーム内で保存、スキャン、ガバナンス、およびプロモーションされます。レジストリは Docker イメージ、Helm チャート、Python、npm、Go、NuGet パッケージなど、複数のアーティファクトエコシステムをサポートしており、チームがプログラミング環境を横断してアーティファクトを単一のリポジトリに統合することを可能にします。 今回のリリースの重要な焦点はソフトウェアサプライチェーンセキュリティです。レジストリは、依存パッケージとその依存関係をダウンストリームパイプラインスキャンを待たずにレジストリへの入力時に評価する「Dependency Firewall」と呼ばれる機能を導入しました。ポリシーにより、既知の脆弱性、ライセンス違反、または信頼できないソースを含むアーティファクトがビルドで消費される前に自動的にブロックされます。セキュリティチェックに失敗したアーティファクトは、ポリシー要件を満たすまで隔離（クォランティン）することもできます。 セキュリティスキャンは、Trivy などのツールを使用してアーティファクトライフサイクルに直接統合されており、アーティファクトを保存する際に自動的な脆弱性検出とポリシー適用を可能にします。ロールベースのアクセス制御、監査証跡、およびライフサイクル管理と組み合わせることで、このレジストリはビルド作成からデプロイ、アーカイブに至るまでのアーティファクトライフサイクル全体にわたってガバナンスとトレーサビリティを提供するように設計されています。 Harness は、確立されたアーティファクト管理プラットフォームによって支配される競争の激しい市場に参入します。 最も広く採用されているツールの一つが JFrog Artifactory です。このユニバーサルリポジトリマネージャーは、多様なアーティファクトを保存・配布し、CI/CD システムや脆弱性スキャン用のセキュリティツールである Xray などと統合されます。Artifactory は、高可用性、レプリケーション、広範な自動化機能を含むエンタープライズ向け機能を備えていることで知られています。 もう一つの主要プラットフォームが Sonatype Nexus で、ポリシーの強制執行、アーティファクトのプロモーションワークフロー、人気ビルドツールとの統合など、同様の機能を提供します。Nexus は、スケーラブルなリポジトリ管理を求める組織で広く利用されており、オープンソース版と商用版の両方で利用可能です。 統合された DevOps プラットフォームも独自のアーティファクトレジストリを提供しています。例えば、GitHub Packages や GitLab Package Registry を使用すれば、チームはソースコードリポジトリ alongside アーティファクトを保存し、CI パイプラインを通じて公開を自動化できます。これらのツールは、単独のアーティファクトガバナンスよりも、ソース管理および自動化ワークフローとの緊密な統合を優先しています。 Harness の差別化要因は、レジストリに直接組み込まれたプラットフォーム統合とサプライチェーン制御にあります。別個のスキャンツールや下流のポリシーエンジンに依存するのではなく、このプラットフォームはアーティファクトがレジストリに取り込まれる際にガバナンスポリシーを適用します。このアーキテクチャは、脆弱性のあるまたは信頼できないコンポーネントがデリバリーパイプラインに入るのを防ぐことを目指しています。 今回のリリースは、DevOps ツールにおけるより広範な変化を反映するものです。アーティファクトリポジトリはかつてビルド出力の保存システムとして主に扱われていましたが、現在ではソフトウェアサプライチェーン内の重要なガバナンスポイントへと進化しつつあります。組織が DevSecOps 実践を採用し、増大するサプライチェーン脅威に対峙する中で、アーティファクトレジストリはセキュリティポリシーを強制し、監査可能性を維持し、ソフトウェアコンポーネント全体にわたるトレーサビリティを提供するシステムへと発展しています。 著者紹介 Craig Risi Craig Risi は多才な人物ですが、その才能をどう活用すべきかという感覚に欠けています。彼が世界を変える活動に出ることも可能ですが、むしろソフトウェアを作ることを好みます。彼はソフトウェアデザインへの情熱を持っていますが、それ以上に技術的に多様で絶えず進化し続けるテクノロジーの世界において、システム設計におけるソフトウェアの品質と、それを設計することへの情熱を有しています。 クレイグはまた、『Quality By Design: Designing Quality Software Systems』という書籍の著者であり、自身のブログサイトや世界各地のさまざまなテックサイトで定期的に記事を書いています。 ソフトウェアをいじる時間がないときは、執筆したりボードゲームをデザインしたり、あるいは理由もなく長距離走をしたりしていることが多いです。Show moreShow less

Harness、DevSecOps向けに新アーティファクトレジストリを発表

背景や根拠まで確認しますか？

関連記事

調べる

選ぶ

サイト