O desafio: escalar o DevSecOps em uma arquitetura de microsserviços
Coveo, uma empresa de software como serviço (SaaS) para o mercado corporativo, é pioneira em busca e recomendações com tecnologia de IA. Sua plataforma cloud-first ajuda empresas a oferecer experiências personalizadas em grande escala aos clientes, apresentando informações relevantes em todas as etapas da jornada do cliente. À medida que as experiências digitais continuam evoluindo, a Coveo expandiu rapidamente suas equipes de desenvolvimento para atender à crescente demanda.
A plataforma inovadora da Coveo é composta por mais de 49 microsserviços, cada um desenvolvido com um conjunto diferente de tecnologias. Essa diversidade de tecnologias dificulta a implementação da segurança de aplicações em toda a empresa. A Coveo queria escalar sua plataforma sem comprometer a segurança e, ao mesmo tempo, aumentar a velocidade de desenvolvimento para acompanhar as expectativas dos clientes. Para isso, a empresa sabia que precisava integrar a segurança diretamente ao processo de integração e entrega contínuas (CI/CD).
“Temos grandes objetivos quando pensamos no nosso processo de implantação e no produto”, afirmou Alex Emery, gerente de produto da plataforma de nuvem da Coveo. “Os princípios fundamentais que sempre temos em mente são escalar para atender à demanda e aumentar a velocidade dos desenvolvedores, minimizando os problemas em produção e garantindo a segurança.”
A solução: integrar a segurança ao pipeline de implantação
Como a Coveo trabalha com uma grande diversidade de tecnologias, suas implantações dependem de vários componentes independentes, como artefatos, verificações de infraestrutura, revisões de banco de dados e muito mais. Por isso, a Coveo criou um pipeline de implantação simplificado e adaptável a diferentes microsserviços — desenvolvidos em Java, TypeScript, Go, Python ou outras tecnologias — usando o Jenkins para integração contínua.
“Na Coveo, não acreditamos que uma tecnologia seja melhor do que outra”, disse Jean-Alexandre Beaumont, engenheiro de segurança da Coveo. “Para colocar essa ideia em prática, precisamos ser adaptáveis. Cada equipe de desenvolvimento deve poder usar as tecnologias que quiser e, ainda assim, contar com o mesmo pipeline de implantação.”
Quando um novo código é integrado, o Jenkins executa automaticamente testes, análises de segurança do Snyk, compilação e empacotamento. Com a CLI do Snyk, cada pacote é associado a uma organização do Snyk e analisado para verificar a conformidade com licenças de código aberto e identificar vulnerabilidades de segurança. Assim, os problemas são detectados e corrigidos assim que um novo código é enviado, antes que qualquer pacote seja implantado em produção. Além disso, um monitoramento é iniciado para cada pacote, notificando a Coveo sobre novas vulnerabilidades identificadas pelo Snyk.
“Há muitas etapas envolvidas na implantação de software”, explicou Emery. “Se você fizer tudo manualmente, o processo será demorado, repetitivo e sujeito a erros — e você não vai querer repeti-lo com frequência. Por isso, sabíamos que precisávamos automatizar tudo, inclusive a segurança, com o Snyk.”
Escalando o Snyk em toda a organização
Com mais de 175 engenheiros em 26 equipes de desenvolvimento, a implementação do Snyk exigia integração perfeita com diversas tecnologias e pipelines de CI/CD para garantir sua adoção. Com foco na automação, o novo pipeline de implantação elimina testes manuais de garantia de qualidade, aprovações, análises de segurança e outras tarefas que atrasavam significativamente os esforços anteriores de implantação contínua da empresa.
Além disso, o pipeline de implantação abstrai alguns dos processos subjacentes, para que os desenvolvedores não precisem entender tudo o que é necessário para garantir a entrega segura das alterações no código. A praticidade do pipeline integrado, especialmente com ferramentas fáceis de usar para desenvolvedores, como o Snyk, reduziu as barreiras à adoção e viabilizou o DevSecOps em toda a empresa.
“Primeiro, uma equipe pequena criou o pipeline de implantação; depois, ele foi disponibilizado a todos os desenvolvedores”, contou Beaumont. “Não precisamos convencer as equipes de desenvolvimento a adotar o novo pipeline, graças às vantagens em segurança e facilidade de uso. A transição aconteceu naturalmente.”
O impacto: mais de 1.000 releases implantadas com segurança em 3 meses
Com o novo pipeline de implantação, a Coveo conseguiu acelerar o desenvolvimento e ampliar a segurança de aplicações em toda a organização por meio da automação. Em apenas três meses, a empresa implantou mais de 1.000 releases de código. Além de implantar novas releases com segurança e mais frequência, a Coveo manteve zero tempo de inatividade nos mais de 1.500 ambientes de clientes. Isso é DevSecOps em escala.