DevOps实施经常失败的原因（及解决方案）

本文最初发表于DevOps.com。 DevOps.com。内容已更新并修正。

与“区块链”、“大数据”、“数字化转型”类似，“DevOps”这一术语正成为大型组织IT部门中又一个新兴的流行词。

许多企业（准确地）认识到，需要更快速的软件开发生命周期——这种更精密的流程与业务目标紧密相连。 这使得开发团队与运维基础团队之间能够建立更清晰的工作流程与协作机制。DevOps本质上是"敏捷"开发模式，所有环节都已发展成熟，足以满足现代企业持续创新与快速部署的需求。对安全专家而言，这无疑是绝佳举措——通过在更早阶段将安全融入流程，既能降低漏洞修复成本，又能防范未来可能发生的灾难性后果。

问题在于真正成功实施DevOps的公司寥寥无几。若缺乏全业务范围的充分支持、培育与理解，企业可能瞬间沦为白象。众所周知，战争项目自不必说。

那么，问题出在哪里呢？这是一个有趣的讨论。我认为存在几种实践DevOps的方法，通过这些方法可以实现更顺畅的运营。有效的实践远不止于引入几款新工具、新头衔或召开团队会议。虽然过程未必轻松，但花时间修正错误策略或从一开始就采用正确方法，从长远来看会少走很多弯路。最终，软件质量将得到提升，安全性也将得到增强。

我来详细说明一下。

请松开“敏捷”围裙带。

存在一种误解，认为组织必须在敏捷与DevOps之间二选一。 存在一种误解，认为必须选择某条路径并永远不回头。

问题在于，当开发流程被视为统一整体并加以实施时，才能发挥最佳效能。DevOps并非敏捷开发的创新，而是其自然延伸。当流程被预期顺畅运行时，往往会出现脱轨现象——无论是完全遵循敏捷，还是彻底背离敏捷。

敏捷开发从一开始就将设计师、测试人员和开发人员整合为一体，并在整个项目周期中建立开放的沟通渠道，以此践行跨部门团队协作的原则。其目标在于终结孤岛式交付并减少重复处理——这两点恰恰也是DevOps流程的核心优势。然而DevOps更进一步，通过整合系统、安全与运维，提供了一套强大而全面的技术体系，其终极目标是向客户交付完整且功能完善的软件。

在向以DevOps为核心的流程转型过程中，一旦不可避免地出现棘手问题，孤岛式开发的风险便可能卷土重来。当前许多敏捷团队在协作时，安全与运维功能尚未得到充分落实。关于如何整合这些功能、具体该做什么、以及整体目标究竟是什么——无人能给出明确答案。

DevOps若没有明确的目标、跨部门的入职流程以及与所有相关方的直接沟通，便无法有效运作。当然，在协调阶段需要细致的变更管理，但只要确保所有人员基于对DevOps功能将带来的改进的共同理解开展工作，这本身就已足够。

DevOps作为流程的一部分，着重强调安全最佳实践，从而能够清晰阐述相关步骤，并缩小安全团队与其他所有员工之间的差距。正如前文所述，要让开发人员从一开始就安全地编写代码，我们仍有很长的路要走，但DevOps方法论的成功实施为在开发团队内部构建安全技术奠定了坚实基础。

自动化并非万能，也并非最安全的选择。

DevOps方法论的另一大特征是软件开发流程的自动化。持续集成与持续交付（CI/CD）原则是该理念的基石，正如其名所示，其实现高度依赖于工具支持。

工具确实非常出色。它们能够相对流畅地管理代码仓库、测试、维护及存储等要素，从而将软件交付流程的执行速度提升至前所未有的高度。

但机器人虽然可能夺走我们所有工作，甚至终有一天将我们囚禁于牢笼，它们目前尚未达到这种程度。当我们过度依赖工具和自动化时，错误的发生窗口便会大开。仅靠扫描和测试无法全面验证，代码可能未被检查，由此可能引发严重的质量问题（更不用说安全隐患）。攻击者只需利用一个后门漏洞就能窃取数据。在质量与安全管理中放弃人为因素，可能导致灾难性后果。

“幸福的媒介”在于维持人们的平衡。工具应作为可靠团队的辅助手段，以实现项目目标。必须践行以下原则：

• 请为团队成员预留充足时间，使其能够熟悉大家选定的DevOps工具链。
• 聚焦高效协作（及工具如何支持协作）
• 无论技术/知识还是工具基础，都要解决流程中的所有差距。

简而言之，不要指望人们仅仅拿着“工具”就能全力以赴。

DevOps不是流行语，而是文化。您正在培育它吗？

变更管理至多是一项艰巨的任务。对未知的恐惧，即使是最优秀的团队成员，也可能阻碍他们精进技术和拓宽视野。

众所周知，仅凭一句"让我们实践DevOps"就让运维团队搬动办公桌，并不能像施魔法般实现流程的成功落地。这将引发诸多混乱，资深团队成员更会心生不满。沟通预期至关重要，"践行之路"同样不可或缺。DevOps既是开发方法论，亦是文化运动。 团队必须具备跨越多个部门的协作思维方式。

优秀的DevOps文化应该是什么样子的？

• 个人不仅能为领导者提供支持，还能在流程中运用自己的专业知识。
• 团队间开放、诚实且相互尊重的沟通
• 每个人都负责在开发过程中实现质量与安全这一总体目标。
• 所有人员都对DevOps在业务中的定义、实施路线图以及个人职责的方法/对象/原因达成统一理解。

笔者多年来一直强调在开发团队中建立积极的安全文化至关重要，DevOps也不例外。

要实现安全最佳实践、识别已发现的漏洞，并让团队认识到数据保护的重要性，必须具备正确的工具、知识和支持。利用DevOps时，必须为积极变革奠定文化基础。 这意味着必须确保每个人都理解自身职责、价值、预期目标、整体项目目标及流程阶段。

您已掌握这些要点？太棒了。现在让我们转换视角，拓展安全维度，将DevSecOps打造为实现软件卓越的终极方案。