问题描述
希望在DevOps流程中实现SOX（萨班斯-奥克斯利法案）合规性控制，以满足审计需求，并在最大程度上减少对实际操作的影响。他已经进行了一些研究，但希望了解更多关于构建DevOps工作流程控制框架的资源建议。
解决方案
请注意以下操作可能因版本差异而有所不同，建议在进行任何更改前做好备份。
资源建议
在构建DevOps工作流程的合规性控制框架时，以下资源可能对您有所帮助：
- Twistlock 和 AquaSec： 这些公司提供容器安全和合规性解决方案，可以作为模板参考。您可以了解它们的功能并根据需要进行定制。您可以在以下链接中了解更多：
- Twistlock
DevSecOps 概念： DevSecOps注重在DevOps流程中融入安全和合规性控制。这与您的目标密切相关。它强调在持续集成、持续交付和持续部署过程中嵌入合规性和安全检查。
AWS CodePipeline 实现 DevSecOps： Amazon Web Services（AWS）提供了一个示例，展示了如何在AWS CodePipeline中实现DevSecOps。这里有一个AWS图示，可以帮助您了解其实现方式：AWS DevSecOps
Chef Inspec： Chef Inspec是一个用于编写合规性检查的工具，可以根据最佳实践文档编写合规性测试。它可以被嵌入到CI/CD流程中，以确保在部署前、部署期间和部署后进行自动合规性检查。您可以从以下链接了解更多：Chef Inspec
构建合规性控制框架
以下是构建DevOps工作流程合规性控制框架的一般步骤：
选择合适的合规性检查工具： 根据您的需求选择合适的工具，例如Twistlock、AquaSec或Chef Inspec。
编写合规性检查规则： 使用所选工具编写合规性检查规则。这些规则可以基于行业标准或最佳实践文档。
集成到CI/CD流程： 将合规性检查规则嵌入到您的CI/CD流程中。确保在部署之前、期间和之后都进行自动化的合规性检查。
制定失败策略： 定义合规性检查失败的策略。可以选择在检查失败时终止部署流程，以确保非合规代码不会部署到生产环境。
定期审查和更新规则： 定期审查和更新合规性检查规则，以适应不断变化的安全和合规性要求。
合规性测试在CI/CD流程中的位置
合规性测试可以在CI/CD流程的不同阶段进行插入，根据您的交付和部署模型选择合适的时机。以下是一些可能的插入点：
构建前检查： 在构建流程之前运行合规性检查，以确保源代码符合合规性要求。
持续集成阶段： 在每次代码提交后，自动运行合规性检查，及早发现并修复合规性问题。
部署前检查： 在部署到测试或预生产环境之前运行合规性检查，确保环境满足合规性标准。
生产环境监控： 在生产环境中持续进行合规性监控，以确保应用程序始终符合合规性要求。
总结
在DevOps流程中实现SOX合规性控制需要将合规性检查嵌入到CI/CD流程中，并在合适的时机运行自动化的检查。选择适合您需求的合规性检查工具，并编写相应的规则。通过持续监控合规性，并定期审查和更新规则，可以确保应用程序在满足合规性要求的同时保持高效的交付流程。