安全和合规剧场-第七种致命疾病(DevSecOps故事)- John Willis, Botchagalupe Technologies

我要快速地讲一下我的，我有很多东西要讲，我真的想讲一些真正有意义的东西，希望我没有超时，但我已经做了很多东西。更有趣的是，我在40年里创办了11家公司。我写了12本书。大部分都没人读过。也许有趣的是，我的职业生涯是从埃克森开始的。我曾在Canonical的第一个私有云基础设施上工作过。它被称为Ubuntu企业云。太可怕了。我在主厨餐厅来的很早…第九个人。帮助建立了整个…所有处于纯开发阶段的东西。 Had a company I sold to Dell. That was kind of cool. And then I sold a company to Docker. I spent two years in the hurricane tornado of Docker. But we won’t talk about that here.

很快地，一些书。DevOps手册，那本书的合著者。这很好。这张，这是我唯一的，除了最后一张幻灯片，这是我唯一的，Audible的功劳。一个。好吧?所以如果你获得了8个Audible学分，事实上，这只是一个音频。我和吉恩·金做到了。如果你喜欢精益学习组织、弹性安全之类的东西，那就太棒了。如果你不喜欢这些东西，就不要浪费功劳。

今年我有两本书要出版。DevSecOps手册，然后我要讲这个。这是我大约两个月前和一个了不起的团队做的白皮书，叫做DevOps自动化治理。我就以这个讨论结束吧。

总之，关卡设置。我们有DevOps，对吧?还有这些问题，“什么是DevOps?”你问10个人，得到10个答案。问题是，他们都是对的。没有错误的答案。有一些我可能不同意。但是如果你在卖CICV管道，你说DevOps是[听不清00:03:12]，上帝保佑你。但是几年前，我开始接到高级cio和一些ceo的电话，我只有五分钟的时间来解释DevOps。我对此很纠结。 For myself, I came up with this. “How would I do this?” I’m going to stick with this. I’m not trying to convince you that this is the Canonical definition, but … DevOps is a set of practices and patterns that turn human capital into high performance organizational capital.

就是这样。抱歉各位，这不是Kubernetes。我的意思是，Kubernetes很棒。x射线和Artifactory很棒。但这是非常非常非常非常困难的事情。那是我儿子。我不知道你是否见过大峡谷。马蹄。这很酷。还有一件事。 I left Docker about two years ago, and I was convinced I’m going to transforma- I spent 10 years with vendors. Prior to that I did consulting. Back when it was incredibly hard to do transformation with the technology there was 15, 20 years ago. It just didn’t work.

在Chef这样的地方工作了10年，然后…Opscode，当然是Chef。然后是Docker。然后我就走了。我说:“我现在要出去……不要被供应商束缚。”尽管小贩们允许我这么做。但我还带着那个供应商。“哦，你是那个叫Docker的家伙。”或者，“你是那个厨师。”我打算走出去，使用所有这些工具，所有我知道的东西。我不是DevOps中最聪明的人，但我敢向任何人挑战，说他们在这个领域的研究比我更强。 I am a student of this thing we call DevOps. I was the only American at the first DevOpsDay.

我发现了所有这些工具，比如精益价值流映射，我现在不打算讲这些东西。手册上有。但为时已晚。有一大堆问题，就像你必须进行的零级别讨论，人们是如何思考的。因为，你一进去，人们就会说，“约翰，我们不需要你。我们安全了。”我说，“好吧。”你知道吗?或者，“我们得到了敏捷。”或者，“我们有DevOps。” These are abstractions that actually do you harm. Again, I’m not being a hypocrite. I love DevOps. But the bottom line is, read that. “You can’t Lean, Agile, SAFE or DevOps your way out of a bad organizational culture.” You just can’t.

这是我从Karina Maslach那里偷来的。你不了解她。她是研究组织倦怠的权威。我开始了解她，采访她。在我们的一次谈话中，她谈到了倦怠。我意识到，“哦，这太适合我们的世界了。”那就是，无论何时你在谈论任何一种改变或改进，你都指望一群人来改变并实现它。如果他们没有参与到解决问题的过程中来，变革的努力就会在到来的时候夭折。

你不可能走进一个35,000人的组织，因为其中200人做了这个惊人的管道之类的事情，然后告诉组织的其他成员，“你必须做这个”，而不跟他们说话。所以我想，“好吧，我要去那些大公司。“……大银行。十大银行。“我将使用所有这些工具，”我意识到我必须做一些不同的事情。我甚至还没有一个名字，但我称之为组织取证。有些人可能会说，“天哪，这不是安全演示。”是的。你会看到。这一切都会导致第七种致命疾病。

所以我花时间和人们在一起，我基本上采访了成百上千的人。周一我和一个开发团队谈了一整天，周二又和另一个开发团队谈了一整天。我只是问…我真的只是试着建立一个对话来了解他们是如何看待事情的。有一个点，你开始让他们开始告诉你大量关于这个组织的真相。我做的另一件事是，在我走之前，我实际上和一群领导人通了电话。这是我从凯文·贝尔那里学来的，他是凤凰计划的合著者之一。这是一个不可思议的工具。你当面说会更好。这有点像罗夏测验。你甚至在面试或询问你是做什么的时候，就会问别人:“你的公司没有做而你应该做的五件事是哪五件?”

结果是，在他们得到第三个答案之前他们会说，“我的天。真不敢相信我跟你说了这些。”你采访了二三十个领导者，你得到了这个，现在你可以汇总。我为一家相当大的公司做了这项工作。这是最关键的。我不会对五大明星说“没有不尊重”，因为我对五大明星就是不尊重。于是我去找CIO，给她看了这张图表。她知道自己的能力有问题。但这是在她30或40位领导的情况下。当我告诉她，她的领导基本上说，我们公司的头号问题是沟通，她真的捶打着拳头说，“你知道吗，我在麦肯锡花了一年多的数百万美元，他们却没有告诉我这一点。” Now here’s the joke. I charged 10K, McKinsey probably charged five million. So who’s the winner?

以下是7种致命疾病。我还有其他的演讲都是关于这些的。我将很快地过一遍前六个，以满足[听不清00:08:52]，就像“你必须做安全工作。你不能。-我说"好吧"所以我想快速赶上其他选手的成绩，让我进入决赛，这也神奇地起作用了。我想说，我是某种天才，提前想到了这一点。但我发现的是，如果你经历过工作上的事情，我会稍微谈一下，当你钻到漏斗的时候，你实际上在大多数情况下已经证明，这个组织，他们认为他们所做的证明命令，都是戏剧。我会给你们看一些例子。第7点是安全合规领域。我只是放了一些你扩展的东西，比如脆弱剧场。 “How much do you pay for your vulnerability scanner? Ten million? Oh, mine’s 12 million. We’re awesome.” It’s not that easy.

第一资本的Topo Pal，他是第一资本的第一个员工。他是我的一个好朋友。我和他一起做了很多工作。他的首席信息官问他，Capital One有15,000名Java开发人员，70%是Java，他被问到，“Capital One使用多少开源?”Topo实际上是参与最初JAR项目的人之一。对吧?他懂爪哇。有人想猜猜数字是多少吗?如果你之前听过我的演讲，你不允许回答。有人想大胆猜一下吗? No? Come on. Be bold. What?

零。

不，多少钱…开源?这是我得到的最糟糕的答案。对不起。我欠你一瓶啤酒，很好。我刚取笑了你，现在我要补偿你。是99%。想象一下，15000名开发人员，他们70%的代码是java, 99%是开源的。所以拓波试图回答另一个问题，但没人问他。他们实际使用了多少?我就不让你猜了。 It was only 10 percent. So the dependency map of our … So I won’t, I’d spend the whole presentation on how complicated scanning and dependencies are. But that should just scare the shit out of you, in terms of how complex this problem is. And I don’t care what AI you put on it. If you start following [inaudible 00:11:08], and some of the embedded methods in there. And Bob’s from ThoughtWorks. It’s insane.

我经常做的一件事是，当我把人们召集到一个房间里时，我会这样做，他们会问:“这家伙在做什么?”又一个能让我的生活更美好的人。”他们真的要把我生吞活剥了，对吧?然后我走到图表前，画了一个方框，然后我说，“工作从哪里开始。”他们会说:“什么?“嗯，是的，工作从哪里开始?”他们说，“这不是一个好问题。”我说:“好吧。工作从哪里开始?“哦，约翰。”你不懂资本市场。” I’m like, “Yep, you’re right. But where does work start?” On average, it takes me a freaking hour to get people to answer that question. They want to argue for an hour why I, you know, “You really can’t.” And then finally, “Okay, if you must know.” I’m like, “Great.”

现在我可以问你有多少百分比，记录了什么。所以第一个致命的疾病就是看不见的工作。我发现，平均而言，一家平庸的公司只占据了他们所做工作的50%左右。当我最后和首席信息官一起阅读时，他们会说，“约翰，我们做得怎么样?”我说，“真的很糟糕。”我有点想抽支雪茄，把我的运动鞋放在他们的木桌上。他们会说，“约翰，你这是什么意思?”我不是在取笑他们，但是，“让我这么说吧。如果你造飞机，我也不会坐。”他们说:“好吧，约翰。 Give me specifics.” I’m like, “Okay. I estimate that you have well over a billion dollar IT budget. And you only capture 30 percent of all the work that goes on. What other part of your business … What if the finance guys said, ‘Every other Wednesday we’re going to roll things up?’”

在IT界，我们有点像个笑话。我们是一群牛仔。如果70%的情况-好的，重点是，我现在要讲快一点。这很有趣，有多少人读过凤凰计划?是的,每一个人。所以有整个[听不清00:13:15]。吉恩做了一件非常有趣的事情，实际上是凯文·巴雷特和吉恩，他简化了利特尔定律和队列理论，这样我妈妈就能理解了。这很棒，对吧?如果你是队列理论或利特尔定律的人，别对我大喊大叫。问题是，到了一定程度，有人会问，“为什么你要花63个小时才能完成15分钟的任务?” And somebody says, “Let me explain. Everybody is about 90 percent busy, so in general, there’s a nine hour backlog for every hour of work. You got seven downstream dependencies. So what you thought was that one little piece of work actually equated to … And I find this when I go to people, I’m like, “Why didn’t you record the work from that team?” “Oh, that’s [inaudible 00:14:05] team. They’re always good.”

后来我发现有这些依赖关系，他们就像，“好吧，那不是我的问题。“是的，但你没有录下来，所以我们甚至不知道它是不是15分钟。”John Allspaw有这个东西，我会把这个展示出来。我不会花很多时间。他以暗物质为基础，提出了暗债的概念。想象一下10亿美元的IT预算。你只捕捉到正在发生的一切的30%。你应该听说过蝴蝶效应。您认为在您的基础设施中实际发生了什么?无法解决的混沌在你甚至看不到的东西下面，因为它看起来像暗物质。

再一次，我试着通过…有一个更长的版本，一个错位。你会发现这变成了激励。事实上，我刚开了一家公司，这很难。我得回去告诉首席信息官们糟糕的事情。好消息是我只做一次演出。这是我相对于IBM、德勤和其他公司的优势，因为他们不会把我告诉他们的事情告诉首席信息官，因为他们会非常生气。这家公司的这个女人真的有这些不可思议的mcg okr，都是狗屁。你想谈的，都是扯淡。不确定性，复杂的导航系统。另一个讨论。

但是她有这些mcg。关键任务目标。我不知道她读了什么书。画面就像屏幕。所以我采访了她的200个手下。在最后一天，我对每个人说:“这是我要告诉你们的CIO的。如果我错了，请告诉我。这是你的机会。”我说"基本上我听说你很擅长"他们在做短跑“你很擅长80%和20%的容量和缓冲。 But what you told me was all the goals, or none of the 80 percent work have anything to do with the MCGs. And in fact, you have to steal the 20 percent time to update your records to get those things so they show up on the tableau.” I got to write this report to this woman.

所以问题是，你不能在DevOps演讲中不提到康威定律。复选框完成了。事情是这样的，对吧?我猜，你们中的大多数人可能都专注于开发。如果你不知道什么是康威定律，快速阅读一下。从微服务的角度来看，你可能会认为康威定律是一种反康威的策略，或者这些事情的不同名称，比如解耦。因此，典型的体系结构是建立在组织结构和设计之上的，您希望实现解耦。但这不仅仅是为了代码。这也是你的组织结构的样子。

所以我要找这个。我希望每个人都听说了2017年Equifax的数据泄露?然而，今天，最大的财务漏洞。还有更大的，但从财务上讲，直到今天，它仍然损失了50亿的市值。康威定律，有问题。我不会说哪里不对。这张幻灯片有什么奇怪之处?第二个啤酒。如果你不喝啤酒，那就来杯可口可乐。来吧。 Be bold. Mighty forces come to your age.

IT与安全无关。

是的。首席法律官苏珊·莫尔丁(Susan Mauldin)向首席法律官报告。你猜怎么着?你们不是IT公司。所以情况变得更糟了。如果你想读火车失事，如果你喜欢火车失事和停电，国会在记录Equifax漏洞方面做得令人难以置信……2018年，它是公开的。他们问的其中一个问题是…当她加入时，她是CSO。她有很好的背景。她是个聪明的女人。他们试图把一切都归咎于她。 No, that wasn’t the problem. They asked, “Didn’t you think it was odd that you were reporting to the Chief Legal Officer?” And she basically said, “Yes, but … I figured they knew what they were doing.” They call that, actually, pluralistic ignorance.

但关键是。这就是康威定律，流血，渗出。我不会让你读整篇文章，但他们问，“当你发现PII，个人身份信息，被泄露时，你为什么不去找CIO?”她说:“我不记得了。我不记得我想过这个。”当然，她没有。她向首席法律官汇报工作。就是这样，对吧?有多少人听说过I形T形E形的概念?在这张幻灯片上，我们试图做的是摆脱“我是文章的DBA。 That’s all I do.” To maybe, “I do article, and Mongo, and I know how to do some JS, or Go.” The high performers get to this E-shape, or comb. Where people have lots of skills, sort of SRE-ish in a way. And one of the things that … You’ve probably heard the concept of two pizza team.

我试着给人们……我倾听并说，“你应该如何开始转变你的思维方式?”你想要的是，i型身材并没有什么好的理由。真的没有T型或e型。这种构建/运行的概念，在这里你有自主的团队，你开始爆发……一般来说，这开始创造e型的个人。因为每个人都变得合作，以知识为基础。这实际上是在偿还一定程度的技术债务，就你和你的员工的技能而言。

然后是复杂性。我很快地过一遍，因为我确实想谈谈安全方面的事情。这里是重点，所有这些东西，如果你还记得那个漏斗，钻入我最后的论点，顺便说一下，可能有一些，但从来没有这是不正确的，我可以字面上告诉CIO，“你在审计中所做的一切都是胡扯。”如果你想读Sidney Dekker的书，或者看John Allspaw从弹性复杂系统，心理安全的角度来研究。我提到过，归一化偏差很有趣。这来自于挑战者号的灾难。一位女士打电话说，我知道我说得太快了，但我可以…你想要什么链接我都给你。但是戴安·沃恩写了一本关于挑战者号的书，她把它叫做，NASA有这种常态化的偏差。你只看到不好的事情，你就习惯了，因为它不会爆炸。 So you start accepting that as a normal thing until the day people die.

还有这个。我不知道我为什么把这些东西放在这里，因为它总是让我超时。但我必须告诉你。有多少人听过亚伯拉罕·瓦尔德的故事?你可能听过，但你没有听过。亚伯拉罕·瓦尔德是二战期间的一名统计学家，他们有一个由杰出的统计学家组成的团队，他们试图找出如何在飞机弹孔返航时修理飞机。所以他们一直在考虑金属的重量，把它放在哪里，把洞盖在哪里。在这个过程中，他突然顿悟了。他说:“你知道吗?我们都是白痴。 We’re thinking about the place where the bullet holes are. Those are the planes that are coming back. We should be thinking about the places where the bullet holes aren’t, because they’re the ones that aren’t coming back.

但问题是，当我做这些采访时，我寻找的是这些人。我会采访5个构建/运营团队，他们每个人都会告诉我，“是的，业务永远不会正确。”他们告诉我们，“我们想要红色按钮。”我们给他们红色的按钮，他们说，“哦，它应该有白色的衬里。”所以我们给他们白色衬里，然后，“它应该有紫色的字母。”我找到了一个团队，他们的工作很神奇。然后我说，让我们找出产品所有者是什么我和产品负责人谈过，我发现那位产品负责人有这样的特点，他能在别人无法完成的地方完成任务。

你们都知道公司里有人会说，“把它给简。”就当亚伯拉罕·瓦尔德吧。这是一个复杂的突发想法。与其试图找出做事的所有方法，不如找出那些真正有效的方法，并遵循它们。我不知道企业和创业公司之间的竞争是什么，但在大型企业中有一场竞赛。在大楼这个角落里做Kubernetes和Docker的人，和在这里仍然在做Remedy Atrium和cmdb的人之间的差距，他们相隔如此之远，我不知道我们是否能让他们重新聚在一起。

但是，再一次，我要快速地过一遍，因为我有一个更长的版本。那么CMDB是什么?今天CMDB的相关性是什么?Capital One的Topo Pal说:“你知道，John，四年前当我在Capital One认真地开始DevOps时，我基本上有400个服务。今天我有5万项服务。”对吧?Microservices。顺便说一下，其中一些是[听不清00:23:55]我们不知道他们…我认为作为一个行业，我们必须弄清楚这个问题。我们需要一份服务目录。但实际上没有人试图以诚实的方式连接这些世界。 Microservices, a type of delivery mesh. If you’ve got a group that’s still doing Idle and [inaudible 00:24:13] and you’re trying to do SRE over here with SLOs … Where’s that conversation happening?

你知道服务网格吗?再一次，很快，我进入公司，5%的组织甚至听说过ISTO和ENVOY。这就是赌桌赌注。这基本上就是赌桌赌注。抱歉，如果你不知道那是什么，你就没在玩游戏。这还是在我讲多重网格之前。因为还有其他的网格。比如节点的框架标识，或者网格架构。然后让我们讨论Kubernetes和crd中的API扩展性。我不知道答案，我只是想知道在一个组织中，你必须弄清楚——你不能两者兼得。 You can’t have people with a CMDB that’s about 30 percent accurate in any given day, and then expect to send whatever your favorite Honeycomb or [Single FX 00:25:14] events to people, because you don’t have anywhere to send them, because you don’t have an [inaudible 00:25:19].

好了，快一点。这是传送网格的东西，我觉得真的很有趣。我觉得这值得我们好好谈谈。我们讨论了服务网格及其工作方式。我们并没有过多地讨论在它们投入生产之前发生了什么。这就像，我说了很长时间，我没有那么多时间继续说下去。但如果你想搞清楚，我不知道答案。我只知道一件事，为什么在我们所有的快递中，大摇大摆不是最基本的?为什么?因为，问题来了。 How many people pen test their API tree structure? Be honest now. Yeah … Rooms of 1,000 … Three hands go up. I’m just like, let’s just make swagger a first class citizen. We can basically, in the build … You know what I mean? But we’re not even having a conversation about that.

好吧。DevSecOps，我们终于到了。下钻。这家伙生气了。他说:“我以为这是一个安全演示。”开个玩笑。现在我还欠你一杯啤酒。你们都不笑了。这糟透了。这就是我工作过的一家保险公司，在那里我们做了很多事情，“你如何在管道中做DevSecOps——”它真正的意思是你有你的管道，你只需要在那里做所有安全的抽象覆盖。 Again, I have a whole presentation. If you were here last year, you heard a good part of that presentation. And then you saw me on stage with the mentalist make a fool of myself, so … How many people saw that? Yeah. Thank you.

这是最致命的疾病。7号，对吧?为什么七?七个很酷。为什么我称它为致命疾病?因为它能让我上台。一般来说，它只是模式。当我在客户端，我只是用这些模式把东西放在桶里。从字面上看，再一次，这个问题的长版本是如果你只完成了你工作的30%，如果你的激励机制不对，如果你的管理系统是辛苦的。有些公司，有10种不同的方法来为他们创造的30%创造门票。 “We use SharePoint. No, these guys use JIRA. These people use,” all with different contexts. Even if you tried to aggregate, you can’t.

在凤凰城的故事中，这是部落的知识。我找的是，事实上，我第一个这样做的公司是一个叫Lou的人。现在我称它为卢圈。我画了一个圆。就像"我又找到了一个卢"他们似乎是那些永远不会说不的人，他们非常友好，非常友好。他们知道如何解决所有问题，但他们没有时间解释如何解决问题。所以新来的初级员工都辞职了，因为每次他们问卢事情是怎么运作的，他就会说:“我很想告诉你，但我没时间。”

所以你要把它水平化。组织设计，我们讲过。不只是微服务，而是一般的。你不会想要Equifax那样的场景。然后是复杂性。让人们意识到复杂的适应系统是一件真实的事情。当你有暗物质的想法时，你就得换个角度思考。事情非常复杂。你必须思考得更多，我在这里会变得很可怕，但是，你必须更加量子化。现在运行的一些基础设施，比如前五、六家银行，对吧? These are incredibly complex systems. I mean, they may still have mainframes and coldwall, but the aggregate of them are beyond human comprehension complexity.

就像物理学从牛顿理论到量子理论一样，它们必须转换成更基于概率的理论。在某种程度上，我们的行业必须更好地确定……我快要疯了，但确定的是，“这应该总是这样的。”如果不行，我们就把它砸进去。”“不，这些是适应系统，你必须对突现有不同的想法。以及出现的模式。”这是很遥远的东西，但我们在这个领域。

所以这些都是泡沫，你有变通办法。人们没有记录工作。你每周三都给变革顾问委员会寄票。我谈到了审计师的这种转变。所以我们真正要做的是，像大多数大公司一样，有两层，根据他们是谁，他们必须向三到四层的人作证。银行通常是内部的，然后是监管机构。我的银行朋友说:“约翰，事情是这样的。如果我们失去了执照我们就不是银行了。这是非常简单的数学。”我看到一些地方有各种各样的审查委员会。 The architecture review, the project [inaudible 00:30:35] the CAB. I had one company that was so embedded in their job scheduling XML into their application … In fact, I had to walk away from this company … That they actually had an XML review board. Their XML job scheduling was so tightly coupled with their code that it literally had to have its own standalone review board.

是的。复选框兼容。然后你会发现有多少人，当你发现一个管理4万人工资的女人说，“你知道吗，我会在周三把零钱存入CAB。我会玩这个游戏。顺便说一下，我的备份文档是我使用了两年的相同文档。甚至不要改变日期。甚至在里面放一条小信息，‘如果你看到这个，给我打电话。换句话说，人们不会去读它。我有一个公司，51个审稿人。当他们回去试图弄清楚如何进行自动化治理时，只有三个人进行过审查。他们没有一个人真正阅读。 Right?

这个发工资的女人说:“你知道吗?是这样的。如果需要的话，我知道怎么把东西投入生产。这是我的代码。我拥有它。”这是一家大型资本市场公司。她说:“如果周三下午的CAB会阻止人们拿到工资，我就会做出改变。”你会发现到处都是这样的东西。你让人们承认，他们正在使用Idle……有多少人，当他们知道这应该是一个有重大影响的更改时，却使用了小的、没有影响的更改，因为他们不想通过CAB?所有人举起手来。

然后我问安保负责人，你有没有柱状图之类的东西可以告诉你有很多这样的东西，只有两个这样的东西?“嗯，如果他们被审计人员发现了，”然后他们就会对那些人说，“你只会受到轻微处罚。”这可能是我整个职业生涯中做过的最令人兴奋的事情。DevOps专家们，这是DevOps手册。告诉首席信息官，“伙计，你必须摆脱CAB。”他们说，“你知道吗，是这样的，约翰。你们所有的DevOps都告诉我CAB是多么邪恶，我必须摆脱它，但你们从来没有告诉我该怎么做。因为我有监管机构，有orm，有内部审计师，还有需要证据的外部审计师。所以我坚持用主观证明。

认证是什么?证明你做了一些事情，或者你正在做一些政策制定者告诉你应该做的事情。所以我在过去一年的框架是，作为一个行业，我们需要改变主观认证，也就是我给你发一个变化记录，你看着它说，“好吧，好吧。”他看着它说:“我想我会让它进入我的生产系统。”6个月后，某个审计人员说，“哦，这个变更记录是多少?“哦，这是一种药方。”这些人，对人，对人都说这很好。”它的功效是什么?30%， 20% ?与客观模型相反，客观模型是内置的，自动化的，没有人参与。

DevOps自动化治理的想法实际上是Kit Merker提出的，我不知道，怪他吧。大约一年半前，他让我开始了这个想法。还有其他一些公司也在做这样的事情。我们可以在管道中建立认证。所以我认为认证是一种，我敢说，你知道，咳咳咳区块链，但它不是区块链。它只是一个加密事件的链接列表，它有一个[SHA 00:34:34]的列表，它说你做了所有的事情，它是不可变的。就是这样。有一个可靠的消息来源。

有多少人读过《液体软件》这本书?你应该读一读。说实话，我喜欢JFrog，他们对我很好，他们为我做了很多事情。我终于读了这本书。这是一本非常好的书。液体的比喻，他们做得很好。实际上，我从最后偷走了这段话，但是……这个想法是，你以不可变的哈希加密事件的形式构建这些认证。现在你的功效真的很高。这不是人与人之间的关系。所以，我开始思考这个问题的一种方式是，Topo Pal在2018年写了一篇关于Capital one如何在管道中进行DevOps的文章。 It’s out there. I’ll get you the link.

但是他说我们有，最初他把它们叫做门。现在他称之为控制点。为了让第一资本管理系统，换句话说，如果你想要自动审批。这就是他们自动审批的游戏化。如果你想让你的服务通过自动审批，而不是去CAB，你必须证明你做了那16件事。现在是29岁。但你必须证明这些东西。

所以有人会说，“是的，是的，是的，是的，你做的这些事情都很棒。你可以自动获得批准。”我的意思是，取决于变化。有一些改变显然不会。他现在把这个术语转化为控制点。这些是控制点，你可以把它们想象成不可变的加密哈希值你做这个的时候，源是可信的。还有一些你都做过的清单。

所以我所做的是，金每年邀请大约40人去波特兰。我们致力于这些案例研究或研究项目。我已经去了六年了。我很幸运能成为这个阴谋集团的一员。一些最大的公司也来了。仅限邀请。我在吹牛，但不管怎样。我已经去了六年了。大多数时候我只是漂浮着，因为我更喜欢漂浮着。早些时候，我写了一个神话终结者。 But this year I decided, “You know what? I’m going to basically prefab my project.” So I called somebody I know who runs all retail at Nike. The guy who runs basically one of the largest commercial Kubernetes, most revenue … Revenue for a company generating through, I mean, we’re talking 30, 40 billion in production Kubernetes of Marriott’s revenue. The guy who runs Azure. A guy who runs all the infrastructure for PNC Bank. Topo Pal from Capital One. And we threw in Mike Nygard from Release It!, just for fun.

我们基本上建立了一个自动化治理的参考架构。我们做的第一件事，你要想象有一块白板。你有来自万豪，PNC，山姆·古根海姆的人如果你没有，他就像，太棒了。所有人都站在那里。我都起鸡皮疙瘩了。我们正在试图弄清楚，我们如何向世界解释……有一百万种方法来定义管道。我们并不是说这是你们应该描述管道的实际方式。但对于我们所做的，这是我们想到的。有七个阶段。其中两个人在自己的自行车上跑步。 Again, I don’t have real time, but the Dependency Manager, Artifact, had their own stream. But they became inputs to build or package. Great, thank you.

然后我们说，“好吧，这就是你做事的各个阶段的模板。”同样，成百上千的不同的人有不同的方法来做到这一点。但就我们的目的而言，这本书将在今年晚些时候出版。这将是创作共用。再说一次，只有在那个房间里的人。我不能告诉你。当我看到万豪、PNC和微软Azure在争论什么是最好的控制点，或者我们在这里这样做的时候，这太不可思议了。这些都被记录下来了。我们基本上把65个控制点的参考架构放在一起，这些控制点是基于所有这些公司最擅长的。想想看，“它是从社会控制开始的吗?” Even human based things. Not even automated. Like, “Did you do a pairing? A peer review?” All these things as attestations. We’re still embryonic. I don’t know exactly how all those attestations will line up in an attestation database.

我们做了三个示例参考实现。我们得到的最好的一个最远的是谷歌的Grafeas。如果你知道Grafeas，这是一个有趣的，它实际上是为这个问题而设计的。它是开源的。没有人谈论它。我们为Kubernetes做了简单的java微服务。我在PNC的朋友约翰·拉斯托夫斯基，我总是说，我怀疑他洗澡时用卡夫卡来放水。我叫他约翰·卡夫卡·拉斯托夫斯基。所以，当然，他在卡夫卡上建立了整个有保证的交付。我们用Grafeas得到了一个很好的工作原型。 We have another one that’s based on Hygieia from Capital One. And just to show you there’s … I’m not going to show you all the stages, but here’s the SourceCode one. The risks, and then these were what we defined as … And again, this is just a starting point.

我们将打开它，问人们，“你的控制点是什么?这有用吗?”我想把它变成一个非常开放和合作的事情，我们可以开始一个诚实的对话，“你如何实际上从主观认证到客观认证?”这就是我们想到的五个。演员，动作。我们总是为每个阶段定义输入/输出。还有风险。再说一遍，我不会把所有的都讲一遍，但我想既然我们在JFrog，让我们谈谈……我将介绍一下Artifact。

所以那里的控件只允许从可信的包源更新，必须是不可变的工件，一个保留策略。再说一次，我们并不是说你必须成为这样的人。这是，那五六家公司都是非常聪明的人，他们同意这是[听不清00:41:02]最好的。在我们提出的七个阶段中，总共有65个阶段是有记录的，有描述，有输入，有输出。神器很有趣，因为我们不知道…你把输出称为神器吗?是的。我们在术语上也很严格。在这一点上，它更像是一个不可变的工件。事实上，工件会发生变异，对吧?

总之，这就是7种致命疾病。你试着找出如何通过获取无形工作获得更高的留存率。你真的需要100%地完成你的工作。你不需要成为一个时间时钟，但我不知道你如何在不知道你在做什么的情况下，真正地攻击暗债，复杂的系统。再一次，没有不尊重Atlassian的意思。但人们告诉我，“哦，我们要把一个Atlassian放进去。它将解决一切问题。”我说:“是的，但是你只捕捉到了你正在做的事情的30%。你在改进哪一部分?”

巩固工作体系、协作、瓶颈、制度化知识、逆康威机动。要明白，你的组织中有一些部分，不仅仅是你的代码库，还有你的方式，国会对Susan Mauldin的报告和报告……那些东西会把你活活吃掉。再说一次，我可以给你很多关于韧性、无可指责和人为因素的很好的参考。我认为自动化治理。我把这个写进了我们的论文，我需要改写一下。在Liquid Software的最后一段，他们做了一个令人难以置信的解释。但它有点集中。它没有像我需要的那样集中注意力，所以我真的写了我自己的版本。换句话说，如果我没有读过Liquid Software，我就写不出这段话。但这是我自己写的。

你可以自己快速阅读，但基本上，他们在Liquid Software中做了一项令人难以置信的工作，最后以这个结尾，阅读Liquid Software。换句话说，这是关于信任。很好,完美。这关乎信任，对吧?受信任的来源。你知道，有一家公司，其中一个引用[听不清00:43:31]他们正在使用Vault。他们所有的签名都来自Vault。这是他们的权威。有很多种方法可以覆盖它。还有一件事。 If this is like, “What is he talking about?” So imagine, not only are you sending up these immutable crypto events in some list. But imagine that when you do the build, you tar up all the logs from the build. You hash that, and that goes up in the list. So imagine when the auditor walks in and says, “This can’t be broke.” Like, maybe when quantum breaks through. But for now, nobody could’ve tampered with the build logs, because again, I don’t want to call it blockchain. It’s just a link list of crypto events that are immutable.

审计人员会注意到这一点，“是的。我们做的。”35天的审计变成了4小时的审计。“这种变化的天意是什么?”哦，这是哈希值。你懂的。就像我们在银行里用的其他东西一样。如果这个都不管用，那我们银行的其他东西也都不管用。我们已经讲完了。下一个是什么? Oh, next one’s the same thing.”

就是说，我确实有个卡座。左边的那个是我儿子。我在教他，他是电子工程系的三年级学生。佐治亚理工学院，我得自夸。我很想。我在试着教他什么是销售。我要让他尝尝我们行业的滋味。销售很糟糕。是很困难的。所以我允许你过去找他麻烦。 Cause he’s like going gung ho about, “Dad, what should I say if they do this?” So, we could have a little bit of fun if you want. We might try to sell you something, but we won’t if you don’t want us to. And we do have a couple of books, so … We only brought like, 20 books but if you create a really good conversation with those guys, they’ll give you a book. I’m done. I hope you enjoyed my presentation.