Донесете одлука за издавање врз основа на докази

Прецизно наведете ја одлуката

Успешен процес за испорака дава докази од сет проверки. Тоа не е целосен опис на одлуката за издавање. Одговорното лице треба да знае што ќе се смени, каде ќе се смени и кои последици остануваат.

За измислен извоз на податоци за клиенти, идентификувајте ги прифатениот commit и артефактот создаден од него. Наведете ја целната околина. Поврзете ги релевантните тестови, прегледот и секој одобрен исклучок. Вклучете ги промените на податоците или инфраструктурата што ја придружуваат апликацијата.

SSDF на NIST обезбедува практики за безбеден развој, а податоците за потекло според SLSA помагаат да се опише како бил создаден артефакт. Ниту едното не ја отстранува потребата да се одлучи дали ова издание е соодветно за оваа услуга. NIST SSDF, потекло според SLSA.

Одделете три настани

Спојувањето код внесува промена на изворниот код во гранка. Распоредувањето поставува артефакт во околина. Овозможувањето функција го прави однесувањето достапно на корисници. Овие настани може да се совпаднат, но не мора да бидат ист настан.

Услуга може да распореди неактивна функција и подоцна да ја овозможи. Миграција на база може да влијае врз продукцијата пред да се појави видлива функција. Одредете го вистинскиот редослед наместо да претпоставите дека спојувањето PR ја опишува секоја последица.

За извозот, знаменце за функција може да ја ограничи почетната достапност за корисници. Не заштитува автоматски нова крајна точка и не поништува миграција на шема. Проверете ја контролата таму каде што се случува последицата.

Прегледајте краток запис со докази

Користете запис што друго одговорно лице може да го испита:

• Цел и засегнати корисници.
• Идентитет на commit и артефактот.
• Релевантни проверки на однесување, безбедност и компатибилност.
• Целна околина и идентитет за извршување.
• Преостанати исклучоци со одговорни лица и услови за истекување на важноста.
• Надзор, метод за обновување и одговорно лице за одговор.

Тврдењата нека бидат конкретни. „Тестовите се успешни“ е послаб доказ од врска до резултатите за commit на изданието со јасен опис на покриеноста. „Можно е враќање на претходна верзија“ е послаб доказ од тестирана постапка со наведени граници.

Одлучете како да запрете

Одредете ги условите за издавање пред извршувањето. За измислениот извоз, запрете ако успее пристап до податоци од друга организација, ако артефактот се разликува од прифатената хеш-вредност или ако обновувањето е недостапно. Ова се илустративни услови, а не универзален список за проверка.

По распоредувањето, испитајте ги сигналите што се важни за корисниците. Споредете ги однесувањето при грешки и времињата за одговор со прифатените цели на услугата. Исправен процес не докажува дека корисничкиот работен тек функционира.

Ако некој услов не е исполнет, користете го договорениот одговор. Ова може да значи оневозможување на функцијата за корисници, враќање компатибилен код или обновување податоци. Изберете дејство што го решава проблемот без да создаде поголем проблем.

Зачувајте ја одлуката по издавањето

Запишете ги вистинскиот распореден артефакт и исходот. Ако извршувањето се разликува од планот, направете ја разликата видлива. Вклучете ги инцидентите и неочекуваната работа во дизајнот на следното издание.

Автоматизиран систем за испорака треба да го олесни испитувањето на овој запис. Не треба да бара рецензентот да го реконструира изданието од неповрзани разговори, дневници и слики од екрани. Јасните докази им овозможуваат на тимовите да автоматизираат рутинска работа и да задржат одлуки со јасна одговорност.