tl; ดร; ในฐานะสตาร์ทอัพที่เติบโตอย่างรวดเร็ว ธุรกิจทั้งหมดของเราขึ้นอยู่กับความสามารถของเราในการสร้าง ปรับขนาด และใช้งานแพลตฟอร์มที่เชื่อถือได้ซึ่งขับเคลื่อนประสบการณ์ลูกค้าและโลจิสติกส์ของเรา เรียนรู้ว่าทำไมและวิธีที่เราทำ DevSecOps เพื่อบรรลุเป้าหมายทั้งหมดนี้ ในขณะที่ทำให้ทีมของเรามีความสุขและทำงานได้อย่างมีประสิทธิภาพ

ที่ Kolonial.no เรากำลังคิดใหม่เกี่ยวกับวิธีการซื้อของชำของคุณ เราเป็นหนึ่งในบริษัทขยายขนาดเทคโนโลยีที่ได้รับการยอมรับมากที่สุดของนอร์เวย์ โดยมีอะไรมากกว่าแค่แอป เทคโนโลยีเป็นหัวใจสำคัญของธุรกิจทั้งหมดของเรา และแพลตฟอร์มดิจิทัลภายในบริษัทของเราขับเคลื่อนทุกสิ่งตั้งแต่ประสบการณ์การช็อปปิ้งที่เป็นส่วนตัวไปจนถึงโลจิสติกส์คลังสินค้าที่ซับซ้อนและการจัดส่งไปจนถึงหน้าประตูทั่วนอร์เวย์ตะวันออก

เติบโตอย่างรวดเร็วตั้งแต่เริ่มต้นในปี 2556 ปัจจุบันเราจัดการคำสั่งซื้อนับพันรายการทุกวัน ลูกค้าของเราคาดหวังที่จะสั่งซื้อได้อย่างง่ายดายในเวลาใดก็ได้ของวัน และคลังสินค้าของเราทำงานเต็มรูปแบบตลอดเวลา โดยพนักงานและระบบอัตโนมัติทำงานร่วมกันเพื่อจัดเตรียมคำสั่งซื้อของลูกค้าได้ทันเวลา ยานพาหนะหลายร้อยคันอยู่บนท้องถนนเพื่อส่งมอบตั้งแต่พระอาทิตย์ขึ้นถึงพระอาทิตย์ตก โดยทั้งคนขับและลูกค้าต่างพึ่งพาแพลตฟอร์มของเราในการจัดส่งทุกอย่างอย่างถูกต้องและตรงเวลา ทั้งหมดนี้หมายความว่าระบบของเรามีความสำคัญต่อธุรกิจอย่างแท้จริง และปัญหาหรือการหยุดทำงานใดๆ จะส่งผลกระทบต่อทั้งลูกค้าและพนักงานอย่างรวดเร็ว

ความท้าทายที่สำคัญสำหรับทีมเทคโนโลยีของเราคือการสามารถสร้าง ปรับปรุง และปรับขนาดระบบที่มีความสำคัญต่อธุรกิจเหล่านี้ในขณะที่เราเติบโต ในขณะเดียวกันก็รักษาทีมวิศวกรที่กำลังเติบโตให้มีความสุขและมีผลงาน เพื่อให้บรรลุเป้าหมายเหล่านี้ เราเป็นผู้เชื่ออย่างแท้จริงใน DevSecOps

DevSecOps คืออะไร?

มีคำอธิบายดีๆ มากมายเกี่ยวกับ DevOps รอบๆ ตัว แต่มีบางสิ่งที่รวมเอาทั้งหมดเข้าด้วยกัน — แม้ว่าสิ่งนี้จะเกี่ยวข้องกับเทคโนโลยีเป็นอย่างมาก แต่ก็เกี่ยวข้องกับผู้คนมากมายพอๆ กัน ที่ Kolonial.no เราถือว่า DevOps เป็นการผสมผสานระหว่างโครงสร้างพื้นฐานทางเทคนิคและเครื่องมือของเรา รวมถึงวิธีที่เราสร้าง ดำเนินการ และปรับปรุงระบบของเรา ในทางปฏิบัติ เครื่องมือและกระบวนการเหล่านี้มีการพัฒนาอยู่เสมอ ดังนั้นหนึ่งในแง่มุมที่สำคัญที่สุดของ DevOps ก็คือการเชื่อมโยงประเด็นเหล่านี้เข้าด้วยกันเป็นสิ่งที่เราสามารถให้เหตุผลและอภิปรายได้

เช่นเดียวกับDevและOpsเราถือว่าการรักษาความปลอดภัยเป็นความรับผิดชอบร่วมกันระหว่างทุกคนที่เกี่ยวข้อง แทนที่จะพยายามแก้ไขเรื่องความปลอดภัยในภายหลัง เรามุ่งมั่นที่จะปฏิบัติตามหลักการของDevSecOps. หลักการที่สำคัญที่สุดข้อหนึ่ง “การเลื่อนไปทางซ้ายในเรื่องความปลอดภัย” เกี่ยวข้องกับการพิจารณาแง่มุมด้านความปลอดภัยตั้งแต่ช่วงแรกๆ ของการพัฒนาว่าเป็นความพยายามในการทำงานร่วมกัน

กองเทคโนโลยีของเรา

กลุ่มเทคโนโลยีของเราประกอบด้วยภาษาโอเพ่นซอร์ส เฟรมเวิร์ก และเครื่องมือที่ทันสมัยเป็นส่วนใหญ่ Python เป็นภาษากลางของเรา และเราใช้มันสำหรับทุกอย่างตั้งแต่การสร้างเว็บแอป Django ( เราเป็นผู้สนับสนุนที่น่าภาคภูมิใจ !) และไปป์ไลน์การเรียนรู้ของเครื่อง ไปจนถึงการควบคุมหุ่นยนต์และระบบอัตโนมัติแบบเรียลไทม์ในคลังสินค้าของเรา เราเรียกใช้โครงสร้างพื้นฐานของเราบน Google Cloud พร้อมด้วยเซิร์ฟเวอร์ภายในองค์กรสำหรับเวลาแฝงและความซ้ำซ้อน (เช่น สำหรับการควบคุมฮาร์ดแวร์) ทุกอย่างเป็นโครงสร้างพื้นฐานในรูปแบบโค้ดโดยใช้เครื่องมือเช่นSaltและTerraformบน Linux และเราใช้เครื่องมือและตรวจสอบแบบเรียลไทม์โดยใช้เครื่องมือเช่นDatadog

เราเลือกที่จะสร้างมาตรฐานสำหรับภาษา เฟรมเวิร์ก และเครื่องมือในทีมของเรา และเชื่อว่าแนวทางนี้มีข้อได้เปรียบที่สำคัญบางประการ แทนที่จะให้แต่ละทีมใช้เวลาอันมีค่าในการสร้างเครื่องมือและความรู้เกี่ยวกับวิธีดำเนินการต่างๆ ในการผลิต เราสามารถเพิ่มเป็นสองเท่าในการสร้างโซลูชันที่มีประสิทธิภาพซึ่งสามารถใช้ในหลายทีมได้ เราอยากสร้างสิ่งที่ทำให้ลูกค้าของเรามีความสุขและแก้ปัญหาในโลกแห่งความเป็นจริงมากกว่าที่จะคิดค้นนั่งร้านและเทคโนโลยีสนับสนุนขึ้นมาใหม่ นอกจากนี้ เรายังต้องการมีวัฒนธรรมสำหรับการเคลื่อนย้ายทีม และคิดว่ากองที่คุ้นเคยช่วยลดความขัดแย้งที่เกี่ยวข้องกับการเปลี่ยนทีม และมีส่วนช่วยในการชะลอกฎของ Conway. ดังที่ได้กล่าวไปแล้ว แน่นอนว่าเราพัฒนากลุ่มเทคโนโลยีของเราอย่างต่อเนื่อง — มันไม่เกี่ยวกับการมีสแต็คแบบคงที่ แต่ควรพิจารณาอย่างรอบคอบเกี่ยวกับสิ่งที่เรานำเข้ามา

ระบบการปรับขนาดและผลผลิตพร้อมการเติบโต

ในตอนเริ่มต้น เมื่อคุณเป็นนักพัฒนาเพียงไม่กี่คน สิ่งต่างๆ ก็เป็นเรื่องง่าย ทุกคนรู้จักทุกคน และทุกคนคุ้นเคยกับส่วนส่วนใหญ่ของโค้ดเบสขนาดใหญ่ที่ตระหง่าน การปรับใช้เป็นไปโดยอัตโนมัติอย่างง่ายดายด้วยสคริปต์ไม่กี่ตัว และความรู้ที่ลึกซึ้งเกี่ยวกับระบบทำให้การดีบักและแก้ไขปัญหานั้นง่ายพอ

ย้อนกลับไปไม่กี่ปีข้างหน้าจนถึงสถานะปัจจุบันของเราที่มีทีมพิซซ่าสองคนที่ทำงานบนระบบกระจาย เห็นได้ชัดว่าจำเป็นต้องมีการดำเนินการโดยเจตนามากขึ้นเพื่อรักษาความน่าเชื่อถือ ปลอดภัย และมีประสิทธิภาพ ความต้องการความเร็วและความน่าเชื่อถือทั้งในระยะสั้นและระยะยาวนี้เป็นเหตุผลที่เราเลือกลงทุนในโครงสร้างพื้นฐานทางเทคนิค เครื่องมือ และกระบวนการของเรานอกเหนือจากการทำงานกับปัญหาทางธุรกิจที่สำคัญ

โดยทั่วไปแล้ว เราสามารถก้าวนำหน้าความซับซ้อนที่เพิ่มขึ้นได้ในขณะที่เราปรับขนาดโดยการปรับปรุงองค์ประกอบที่มีอยู่แบบค่อยเป็นค่อยไป อย่างไรก็ตาม ในปีที่แล้ว เราเริ่มเห็นอาการที่เพิ่มขึ้น เช่น การปรับใช้ช้า (ใช้เวลา 15–20 นาที แทนที่จะเป็น 2–3 นาที) การโยกย้ายฐานข้อมูลที่เสียหายซึ่งนำไปสู่การหยุดทำงาน การทดสอบล้มเหลวโดยเจ้าของไม่ชัดเจน และเพิ่มความซับซ้อนในการแก้ไขเหตุการณ์การผลิต

สิ่งนี้ทำให้เราเริ่มดำเนินการตามแนวทางที่มีโครงสร้างมากขึ้นสำหรับ DevSecOps รวมถึงการประเมินความสามารถปัจจุบันของเราตามDevOps State of the Unionและใช้เวลาด้านวิศวกรรมเพิ่มเติมในการปรับปรุงประเด็นสำคัญ นี่คือตัวอย่างบางส่วนของชัยชนะล่าสุดของเรา:

• สร้างสภาพแวดล้อมการทดสอบบนคลาวด์โดยอัตโนมัติสำหรับคำขอดึง Github ทั้งหมด
• ปรับปรุงขั้นตอนการปรับใช้ของเราเพื่อลดการปรับใช้ให้เหลือไม่กี่นาที
• การเปลี่ยนคลังข้อมูลของเราจาก PostgreSQL เป็นSnowflake
• เครื่องมือสำหรับการมองเห็นที่ดีขึ้นในการย้ายฐานข้อมูล
• เปิดตัวVaultเพื่อการจัดการความลับที่ดียิ่งขึ้น
• … และอีกมากมาย

หลักการพื้นฐานของ DevOps คือนักพัฒนาซอฟต์แวร์และเจ้าหน้าที่ปฏิบัติการทำงานร่วมกันตั้งแต่การพัฒนาเริ่มต้นไปจนถึงการดำเนินการในสภาพแวดล้อมการผลิต หากคุณมีแผนก DevOps ที่ควรจะทำทุกอย่าง นั่นแสดงว่าคุณทำไม่ถูกต้อง แต่เราเชื่อในการเสริมศักยภาพให้ทีมผลิตภัณฑ์ของเราในการเป็นเจ้าของผลงานในการผลิต ในขณะที่ยืนอยู่บนไหล่ของส่วนประกอบแพลตฟอร์มที่ใช้ร่วมกันที่ได้รับการพิสูจน์แล้วและการสนับสนุนจากทีมโครงสร้างพื้นฐาน

ในทางปฏิบัติ เราควรมีวิศวกร DevSecOps หนึ่งหรือสองคนประจำอยู่ในทีมผลิตภัณฑ์แต่ละทีมของเรา สิ่งเหล่านี้ไม่ใช่บทบาทเต็มเวลา แต่เป็นวิศวกรซอฟต์แวร์ที่มีความสนใจเป็นพิเศษในโครงสร้างพื้นฐาน ระบบ และเครื่องมือ พวกเขามีส่วนร่วมในความน่าเชื่อถือของไซต์และวิศวกรรมที่ยั่งยืนโดยสนับสนุนแนวทางปฏิบัติที่ดีของ DevSecOps และสร้างส่วนประกอบของแพลตฟอร์ม นอกเหนือจากการมีส่วนร่วมในฐานะวิศวกรซอฟต์แวร์ในทีม ทีมผลิตภัณฑ์ของเรามีหน้าที่รับผิดชอบในการจัดลำดับความสำคัญของงานเหล่านี้เพื่อให้แน่ใจว่าแต่ละทีมมีหน้าที่รับผิดชอบและสามารถแก้ไขข้อบกพร่องของตนได้

นอกจากวิศวกร DevSecOps ของทีมแล้ว เรายังมีทีมโครงสร้างพื้นฐานที่ทำงานอย่างใกล้ชิดกับทีมผลิตภัณฑ์ ทีมโครงสร้างพื้นฐานมีหน้าที่รับผิดชอบโดยรวมสำหรับโครงสร้างพื้นฐานของเรา และทำหน้าที่เป็นผู้เชี่ยวชาญ คู่สนทนา และผู้มีส่วนร่วมในโครงสร้างพื้นฐานและความพยายามของแพลตฟอร์ม และเป็นผู้ตัดสินใจขั้นสุดท้ายเกี่ยวกับสิ่งที่ส่งผลกระทบต่อโครงสร้างพื้นฐานการผลิตของเรา การทำงานอย่างใกล้ชิดกับทีมผลิตภัณฑ์เพื่อแก้ไขจุดบกพร่องที่แท้จริง เราลดความเสี่ยงของการเสียเวลาในการสร้าง "โซลูชันที่มองหาปัญหา"

มีอะไรข้างหน้า?

เรามี DevSecOps ดีๆ มากมายในร้าน:

• การย้ายไปยังโครงสร้างพื้นฐานแบบคอนเทนเนอร์อย่างสมบูรณ์สำหรับ CI/CD การทดสอบ การปรับใช้ และการดำเนินการผลิต
• ขอแนะนำ “KEP” — กระบวนการที่มีน้ำหนักเบาสำหรับการพัฒนาสแต็กของเราที่ได้รับแรงบันดาลใจจากPEP แบบอะซิงโครนัส
• ช่วยให้มีความน่าเชื่อถือสูงและมองเห็นหุ่นยนต์คลังสินค้าและฮาร์ดแวร์อัตโนมัติด้วยเครื่องมือที่ได้รับการปรับปรุงสำหรับผู้ปฏิบัติงานและทีมงานซ่อมบำรุงในสถานที่ของเรา
• … และ CI/CD และปรับใช้ที่เร็วขึ้น

คุณรู้สึกตื่นเต้นกับหัวข้อและความท้าทายเช่นนี้หรือไม่? เรากำลังมองหาวิศวกร DevSecOpsสำหรับทีมผลิตภัณฑ์และโครงสร้างพื้นฐานของเรา และยินดีที่จะสนทนากับคุณ สมัครงานในตำแหน่งที่เปิดรับของเราหรือติดต่อกับทีมงานที่มีความสามารถของเราหากคุณต้องการพูดคุย!