什麼是政策即程式碼？
目錄
政策即程式碼是一種政策管理方法，其中政策是使用程式碼來定義、更新、共用和強制執行。政策即程式碼」透過利用以程式碼為基礎的自動化，而非依賴手動流程來管理政策，可讓團隊更快速地進行工作，並降低因人為錯誤而造成錯誤的可能性。
同時，對安全等領域採用政策即程式碼的方法，可以讓不同類型的利害關係人 (例如開發人員和安全工程師) 都能理解的方式來定義和管理政策。
本頁說明政策即程式碼的運作方式、其重要性，以及如何在安全性的範圍內利用政策即程式碼。
定義政策即程式碼
要瞭解政策即程式碼的意義，您必須先瞭解「政策」的定義。
在此情況下，政策是指規範 IT 作業或流程的任何類型的規則、條件或指示。例如，政策可以是一項規則，它定義了必須滿足哪些條件才能讓程式碼通過安全控制並進行部署。或者，它可以是一組回應安全性事件而自動執行的程序。
政策即程式碼是使用程式碼來定義和管理規則與條件。在政策即程式碼的方法下，團隊會使用某種程式語言 (例如 Python、YAML 或 Rego) 寫出政策。特定的語言通常取決於您使用的政策即程式碼管理和執行工具。
當工程師需要進行更新時，他們會修改現有的程式碼。他們也可以與他人共用程式碼，讓他人使用版本控制系統 (VCS) 瞭解他們的政策。最後但並非最不重要的是，他們可以使用政策即程式碼執行引擎來確保滿足政策的要求。執行引擎可以是獨立的政策即程式碼，也可以內建到 更大的平台中。
政策即程式碼 vs. 基礎結構即程式碼
政策即程式碼」的概念聽起來可能與 「基礎架構即程式碼」或 IaC相似。IaC 使用基於程式碼的檔案來自動化基礎結構的設定與佈建，多年來一直是 IT 作業團隊的常見作法。
IaC 對需要佈建基礎結構的 IT 作業團隊有利，而政策即程式碼則可改善安全性作業、合規性管理、資料管理，以及更多其他方面。
政策即程式碼的優點
與手動管理規則、條件和程序的替代方案相比，政策即程式碼提供了幾個嚴重性的優點：
- 效率：當政策以程式碼的形式明確列出時，就能以幾乎無限制的大規模自動分享與執行。這比每次需要工程師手動強制執行政策要有效率得多。當政策是以清楚、簡明的程式碼定義時，更新和分享政策的效率也會更高，而不是以人類語言描述，因為有些工程師對這些語言的詮釋可能與其他工程師不同。
- 速度：自動執行政策的能力也意味著政策即程式碼比手動方式的作業速度更快。
- 可見度：當政策以程式碼定義時，所有利害關係人都可以很容易地使用程式碼來了解系統內發生的事情。例如，他們只需檢查哪些基於程式碼的政策已經到位，就可以檢閱警示或修復規則，而不必詢問其他工程師並等待回應。
- 合作：透過提供統一、系統化的政策管理方式，政策即程式碼簡化了協作。這不僅包括同一團隊內的合作，也包括不同類型團隊之間的合作 - 特別是開發人員 (他們習慣以程式碼的方式思考和工作) 與其他領域 (如安全性或 IT 作業) 的專家之間的合作。
- 精確度：當團隊使用程式碼定義和管理政策時，就能避免手動管理系統時發生組態錯誤的風險。
- 版本控制：如果您追蹤政策檔案變更時的不同版本，政策即程式碼可確保您在新政策版本產生問題時，能輕鬆回復到較早的組態。
- 測試與驗證：當政策寫在程式碼中時，就很容易使用自動稽核工具來驗證它們。如此一來，政策即程式碼可以協助降低將重要錯誤導入生產環境的風險。
如何使用「政策即程式碼
目前，利用政策即程式碼的最簡單方法是採用 原生支援政策即程式碼的工具 ，無論您要透過政策即程式碼方法管理哪個領域。
例如，在安全性領域，Prisma Cloud、Bridgecrew 和 Checkov 允許團隊使用程式碼到雲端定義安全性政策。它們還可以自動掃描和審核政策檔案，以便在部署前檢測設定錯誤或漏洞。這種方法是這些工具簡化 雲端安全勢態管理的一種方式。
您可能也想探索 Open Policy Agent之類的工具，其目的是提供一個共通的框架，將政策即程式碼應用於任何領域。然而，到目前為止，廠商對此類社群式政策即程式碼架構的採用仍然有限，這就是為什麼尋找具有原生政策即程式碼支援的廠商工具，是實作安全或任何其他 IT 領域政策即程式碼方法的最簡單途徑。
政策即代碼常見問題
基礎架構即程式碼 (IaC) 是一種透過機器可讀定義檔案，而非實體硬體組態或互動式組態工具，來管理與佈建電腦基礎架構的方法。它可讓開發人員和 IT 專業人員透過程式碼自動管理、監控和佈建資源，從而提高一致性並減少手動錯誤。IaC 支援雲端服務的擴充性與彈性，確保基礎架構部署的可重複性與標準化。
合規性即程式碼 (Compliance as Code) 是一種做法，將合規性規格寫成程式碼，並整合到自動化部署管道中。它可確保 IT 基礎架構和應用程式不斷地遵守監管和安全標準，並將合規性檢查編碼為自動且可重複的驗證程序。此方法可將人為錯誤減至最低，並可減少合規性稽核所需的時間與精力。
安全即程式碼」是透過編纂安全政策與控制，將安全實作整合至軟體開發生命週期。它允許在 CI/CD 管道中自動評估和強制執行安全性，確保安全性檢查是軟體交付流程中不可或缺的一部分，而不是事後才想到的。使用自動漏洞掃描器和組態管理系統等工具，可確保應用程式從開始到部署的安全性。
組態管理是有系統地處理系統變更的過程，其方式可確保隨時間推移的完整性。它涉及到軟體和硬體元件的記錄維護和軟體更新，確保系統配置的一致性，以及任何變更的可追溯性。集中式組態管理工具，如 Ansible、Puppet 和 Chef，可自動部署和操作基礎架構，實現可擴展性和可靠性。
自動化腳本是編碼的程序，可在沒有人為干預的情況下執行任務。它們對於 IT 環境中重複而複雜的作業自動化、提高效率以及降低人為錯誤的可能性至關重要。在雲端運算中，自動化腳本常用於佈建資源、管理部署和協調工作流程，通常是在 Terraform 等工具中，或透過 AWS CloudFormation 等雲端提供商腳本介面進行。
GitOps 是一個運作框架，它將應用程式開發所使用的 DevOps 最佳實務，例如版本控制、協作、合規性和 CI/CD，套用在基礎架構自動化上。GitOps 的核心理念是使用 Git 作為宣告式基礎架構和應用程式的單一真相來源。以 Git 作為 CI/CD 管道的中心，團隊可以提出拉取請求，加速並簡化應用程式的部署與作業任務。
持續整合/不斷地部署 (CI/CD) 是將自動化引入應用程式開發階段的軟體交付方法。CI/CD 的主要概念是持續整合、持續交付和持續部署。CI/CD 將規範的程式碼變更整合至共用程式碼儲存庫、自動執行測試，並將程式碼推送至生產環境。這種做法可減少手動錯誤、縮短開發週期並提高軟體品質。
不可變更的基礎架構是一種管理 IT 資源上的服務與軟體即服務部署的方法，其中的元件是更換而非變更。一旦部署後，基礎架構就不會再修改；相反地，任何更新或變更都是透過以新版本取代伺服器或容器來進行。這種模式可將配置偏移或手動介入所造成的不一致和潛在安全漏洞降至最低。
程式碼安全 包含用來防護軟體程式碼內的弱點，以及防止未經授權存取或變更程式碼庫的方法和工具。它涉及靜態和動態程式碼分析、程式碼簽章和使用安全編碼標準等實務，以確保軟體開發從一開始就強調安全性。
程式碼稽核是一種全面的分析，藉由檢查原始程式碼來發現錯誤、安全性漏洞或違反程式設計慣例的情況。有系統地進行程式碼稽核有助於維護程式碼庫的健康、加強安全性，並確保合乎編碼標準和產業規範性。
政策實作是在 IT 環境中實行並確保遵守已定義的政策的過程。它包括主動管理存取控制、資源運用和作業行為，以確保所有行動都符合既定的安全政策和合規性需求。
宣告式配置指定了系統的理想狀態，但沒有概述實現該狀態的步驟。系統的底層管理工具負責執行必要的動作，以維持已宣告的狀態。這種方法與命令式配置形成對比，後者需要腳本或指令來描述達到所需狀態的過程。
版本控制系統是追蹤檔案變更的工具，可記錄修改內容和修改者。它們是協同軟體開發的必要條件，可讓多位參與者同時在相同的程式碼基礎上工作，而不會覆蓋彼此的工作。版本控制系統有助於回滾、分支和合併，並有助於在合併貢獻時解決衝突。
組態偏移預防可確保基礎結構的狀態長期與其定義的組態保持一致。透過自動化部署與作業流程，並定期核對實際狀態與期望狀態，Puppet、Chef 和 Ansible 等預防漂移工具可偵測並修正差異，從而維護系統的完整性與安全性。
程式碼檢閱政策建立了標準和程序，以便在原始程式碼合併到主程式碼庫之前，由同儕對其進行有系統的檢閱。這些政策強制執行最佳編碼實務、找出潛在的安全漏洞，並改善程式碼品質。它們通常會指定審核員指派標準、審核範圍，以及核准或拒絕程式碼的條件。
政策定義語言 (Policy Definition Language, PDL) 提供了正式的語法來撰寫政策，以規範系統行為、管理存取及強制執行合規性。PDL (例如 Open Policy Agent 中使用的 PDL) 可在軟體開發和部署的不同階段清楚闡明規則和自動執行政策，確保安全實務的一致應用。
基礎架構即程式碼範本是預先定義的腳本或檔案，用來自動佈建 IT 基礎架構。IaC 範本以 YAML 或 JSON 等語言撰寫，描述應用程式所需的資源和組態，讓開發、測試和生產環境的設定一致且可重複。
自動化治理將政策執行整合至持續整合與部署管道中，確保變更自動遵守公司與監管標準。它採用監控 IT 環境的工具和實務，減少人工監督並提供即時的合規性保證。自動化治理可快速識別並修正偏離既定政策的問題。
