Harness、DevSecOps向けに新アーティファクトレジストリを発表
本文の状態
日本語全文を表示中
詳細モードで約6分の本文を読めます。
同じ出来事の情報源
この情報源を基点に整理
InfoQ
Harnessは、DevSecOpsパイプライン内でソフトウェアアーティファクトの保存・セキュリティ・管理を簡素化する「Harness Artifact Registry」の一般提供を開始した。
Source Article
元記事を日本語で読む
本文に関係しない購読案内、埋め込み通知、サイト内プロモーションは除いています。
Harness は、モダンな DevSecOps パイプライン内でソフトウェアアーティファクトの保存、セキュリティ確保、ガバナンスを簡素化するために設計されたプラットフォーム機能である Harness Artifact Registry の一般提供を開始しました。アーティファクトリポジトリをスタンドアロンのインフラコンポーネントとして扱うのではなく、新しいレジストリはアーティファクト管理をソフトウェアデリバリープラットフォーム内に直接埋め込み、セキュリティポリシー、ガバナンス制御、CI/CD ワークフローが単一のシステム内で動作できるようにしています。
コンテナイメージ、ライブラリ、コンパイルされたビルド出力などのアーティファクトは、現代のソフトウェアサプライチェーンの中核をなすものです。CI パイプラインで生成され、デプロイ環境を通じてプロモートされ、開発チーム間で再利用されます。しかし、多くの組織では依然として、ビルドやデプロイパイプラインから切り離された別々のツールでアーティファクトを管理しています。この断片化されたアーキテクチャは、アーティファクトの公開、取得、スキャン、ガバナンスのために複数のシステム間を行き来することをチームに強いることが多く、運用複雑性を増大させ、サプライチェーンの可視性を弱めています。
Harness のアプローチは、ソフトウェアデリバリーライフサイクル内の制御ポイントとしてアーティファクトレジストリを扱うことで、この断片化に対処することを目指しています。このモデルでは、アーティファクトはそれらを構築・デプロイするのと同じプラットフォーム内で保存、スキャン、ガバナンス、およびプロモーションされます。レジストリは Docker イメージ、Helm チャート、Python、npm、Go、NuGet パッケージなど、複数のアーティファクトエコシステムをサポートしており、チームがプログラミング環境を横断してアーティファクトを単一のリポジトリに統合することを可能にします。
今回のリリースの重要な焦点はソフトウェアサプライチェーンセキュリティです。レジストリは、依存パッケージとその依存関係をダウンストリームパイプラインスキャンを待たずにレジストリへの入力時に評価する「Dependency Firewall」と呼ばれる機能を導入しました。ポリシーにより、既知の脆弱性、ライセンス違反、または信頼できないソースを含むアーティファクトがビルドで消費される前に自動的にブロックされます。セキュリティチェックに失敗したアーティファクトは、ポリシー要件を満たすまで隔離（クォランティン）することもできます。
セキュリティスキャンは、Trivy などのツールを使用してアーティファクトライフサイクルに直接統合されており、アーティファクトを保存する際に自動的な脆弱性検出とポリシー適用を可能にします。ロールベースのアクセス制御、監査証跡、およびライフサイクル管理と組み合わせることで、このレジストリはビルド作成からデプロイ、アーカイブに至るまでのアーティファクトライフサイクル全体にわたってガバナンスとトレーサビリティを提供するように設計されています。
Harness は、確立されたアーティファクト管理プラットフォームによって支配される競争の激しい市場に参入します。
最も広く採用されているツールの一つが JFrog Artifactory です。このユニバーサルリポジトリマネージャーは、多様なアーティファクトを保存・配布し、CI/CD システムや脆弱性スキャン用のセキュリティツールである Xray などと統合されます。Artifactory は、高可用性、レプリケーション、広範な自動化機能を含むエンタープライズ向け機能を備えていることで知られています。
もう一つの主要プラットフォームが Sonatype Nexus で、ポリシーの強制執行、アーティファクトのプロモーションワークフロー、人気ビルドツールとの統合など、同様の機能を提供します。Nexus は、スケーラブルなリポジトリ管理を求める組織で広く利用されており、オープンソース版と商用版の両方で利用可能です。
統合された DevOps プラットフォームも独自のアーティファクトレジストリを提供しています。例えば、GitHub Packages や GitLab Package Registry を使用すれば、チームはソースコードリポジトリ alongside アーティファクトを保存し、CI パイプラインを通じて公開を自動化できます。これらのツールは、単独のアーティファクトガバナンスよりも、ソース管理および自動化ワークフローとの緊密な統合を優先しています。
Harness の差別化要因は、レジストリに直接組み込まれたプラットフォーム統合とサプライチェーン制御にあります。別個のスキャンツールや下流のポリシーエンジンに依存するのではなく、このプラットフォームはアーティファクトがレジストリに取り込まれる際にガバナンスポリシーを適用します。このアーキテクチャは、脆弱性のあるまたは信頼できないコンポーネントがデリバリーパイプラインに入るのを防ぐことを目指しています。
今回のリリースは、DevOps ツールにおけるより広範な変化を反映するものです。アーティファクトリポジトリはかつてビルド出力の保存システムとして主に扱われていましたが、現在ではソフトウェアサプライチェーン内の重要なガバナンスポイントへと進化しつつあります。組織が DevSecOps 実践を採用し、増大するサプライチェーン脅威に対峙する中で、アーティファクトレジストリはセキュリティポリシーを強制し、監査可能性を維持し、ソフトウェアコンポーネント全体にわたるトレーサビリティを提供するシステムへと発展しています。
著者紹介
Craig Risi
Craig Risi は多才な人物ですが、その才能をどう活用すべきかという感覚に欠けています。彼が世界を変える活動に出ることも可能ですが、むしろソフトウェアを作ることを好みます。彼はソフトウェアデザインへの情熱を持っていますが、それ以上に技術的に多様で絶えず進化し続けるテクノロジーの世界において、システム設計におけるソフトウェアの品質と、それを設計することへの情熱を有しています。
クレイグはまた、『Quality By Design: Designing Quality Software Systems』という書籍の著者であり、自身のブログサイトや世界各地のさまざまなテックサイトで定期的に記事を書いています。
ソフトウェアをいじる時間がないときは、執筆したりボードゲームをデザインしたり、あるいは理由もなく長距離走をしたりしていることが多いです。Show moreShow less
原文を表示
Harness has announced the general availability of Harness Artifact Registry, a platform capability designed to simplify how engineering teams store, secure, and govern software artifacts within modern DevSecOps pipelines. Rather than treating artifact repositories as standalone infrastructure components, the new registry embeds artifact management directly inside the software delivery platform, allowing security policies, governance controls, and CI/CD workflows to operate within a single system.
Artifacts, such as container images, libraries, and compiled build outputs, are central to the modern software supply chain. CI pipelines produce them, promote them through deployment environments, and reuse them across development teams. Yet many organizations still manage artifacts in separate tools disconnected from build and deployment pipelines. This fragmented architecture often forces teams to move between multiple systems to publish, retrieve, scan, and govern artifacts, increasing operational complexity and weakening supply chain visibility.
Harness's approach aims to address this fragmentation by treating the artifact registry as a control point within the software delivery lifecycle. In this model, artifacts are stored, scanned, governed, and promoted within the same platform that builds and deploys them. The registry supports multiple artifact ecosystems, including Docker images, Helm charts, Python, npm, Go, and NuGet packages, allowing teams to consolidate artifacts across programming environments into a single repository.
A key focus of the release is software supply chain security. The registry introduces a capability called Dependency Firewall, which evaluates packages and their dependencies when they enter the registry rather than waiting for downstream pipeline scans. Policies can automatically block artifacts containing known vulnerabilities, license violations, or untrusted sources before builds consume them. Artifacts that fail security checks can also be quarantined until they meet policy requirements.
Security scanning is integrated directly into the artifact lifecycle, using tools such as Trivy, enabling automatic vulnerability detection and policy enforcement as artifacts are stored. Combined with role-based access control, audit trails, and lifecycle management, the registry is designed to provide governance and traceability across the entire artifact lifecycle, from build creation through deployment and archival.
Harness enters a competitive market dominated by established artifact management platforms.
One of the most widely adopted tools is JFrog Artifactory. This universal repository manager stores and distributes a wide range of artifacts and integrates with CI/CD systems and security tools, such as Xray, for vulnerability scanning. Artifactory is known for its enterprise features, including high availability, replication, and extensive automation capabilities.
Another major platform is Sonatype Nexus, which offers similar functionality, including policy enforcement, artifact promotion workflows, and integrations with popular build tools. Nexus is widely used by organizations seeking scalable repository management, available in both open-source and commercial editions.
Integrated DevOps platforms also provide their own artifact registries. For example, GitHub Packages and GitLab Package Registry allow teams to store artifacts alongside their source code repositories and automate publishing through CI pipelines. These tools prioritize tight integration with source control and automation workflows rather than standalone artifact governance.
Where Harness differentiates itself is through platform integration and supply chain controls built directly into the registry. Rather than relying on separate scanning tools or downstream policy engines, the platform applies governance policies when artifacts are ingested into the registry. This architecture aims to prevent vulnerable or untrusted components from entering the delivery pipeline.
The release reflects a broader shift in DevOps tooling. Artifact repositories were once treated primarily as storage systems for build outputs, but they are increasingly becoming critical governance points within the software supply chain. As organizations adopt DevSecOps practices and confront growing supply chain threats, artifact registries are evolving into systems that enforce security policies, maintain auditability, and provide traceability across software components.
About the Author
Craig Risi
Craig Risi is a man of many talents but has no sense of how to use them. He could be out changing the world but prefers to make software instead. He possesses a passion for software design, but more importantly software quality and designing systems in a technically diverse and constantly evolving tech world.
Craig is also the writer of the book, Quality By Design: Designing Quality Software Systems, and writes regular articles on his blog sites and various other tech sites around the world.
When not playing with software, he can often be found writing, designing board games, or running long distances for no apparent reason.
Show moreShow less
関連記事
今日のまとめ
AIデイリーブリーフで今日の重要ニュースをまとめ読み