Procédure opérationnelle standard pour le déploiement
Chaque ServiceNow organisation doit disposer d’une procédure opérationnelle standard de déploiement documentée. La procédure doit spécifier la méthode approuvée pour orchestrer les déploiements, les étapes du pipeline et les portails d’approbation, ainsi que les rôles autorisés à effectuer des déploiements.
Liste de vérification de prédéploiement
- Confirmez la méthode de déploiement approuvée de votre organisation auprès du propriétaire ou du gestionnaire de version de votre plateforme. Les méthodes approuvées comprennent ReleaseOps, App Engine Management Center Pipelines et déploiements, et Ensembles de mises à jour système. Pour plus d'informations, consultez Options de gestion des déploiements.
- Exécutez Analyse d'instance sur votre application pour vérifier les violations de sécurité, les problèmes de norme de codage et les écarts dans les directives.
- Exécutez toutes les Framework de tests automatisés suites et vérifiez qu’elles réussissent.
- Examinez les listes de contrôle d’accès (ACL) pour confirmer qu’elles respectent les principes du moindre privilège, sans règles vides ou trop permissives.
- Vérifiez que les informations d’identification, les clés API et les propriétés spécifiques à l’environnement sont isolés à l’aide de propriétés système privées.
- Soumettez et obtenez les approbations de demande de changement requises conformément au processus de gestion des changements de votre organisation.
- Déployez d’abord en non-production, validez de manière approfondie, puis ne passez en production qu’une fois toutes les étapes de qualité franchies.
Sécurité du pipeline de déploiement
Votre procédure opérationnelle standard de déploiement doit explicitement répondre aux exigences de sécurité suivantes :
- Authentification multifacteur (MFA)
- Utilisez l’authentification multifacteur pour tous les comptes interactifs qui effectuent des déploiements.
- Liste d’autorisation d’adresses IP
- Utilisez la liste d’autorisation d’adresses IP pour les comptes de service utilisés dans les pipelines automatisés.
- Calendriers de rotation des informations d’identification
- Utilisez les calendriers de rotation des informations d’identification pour les comptes d’intégration.
- Journalisation d’audit
- Utilisez la journalisation d’audit de toutes les actions de déploiement.
- Procédures de restauration
- Utilisez des procédures de restauration au cas où un déploiement introduirait une régression de sécurité.