Agent 与自动化01
rbpal/azure-firewall-change-agent · Agentic firewall change requests on Microsoft Foundry: agent drafting, deterministic policy gates, human approval, Terraform apply.
该项目面向 Microsoft Foundry 上代理式防火墙变更请求流程：由 Agent 起草防火墙规则，经过确定性策略门禁与人工审批后，通过 Terraform 应用变更。仓库提供合成的网络数据与标准，企业流程与演示流程共用同一套 Agent、工作流代码与检查逻辑；演示版用 YAML 工单替代 ServiceNow、用 GitHub Actions 替代 Azure DevOps，并由单人扮演全部人工角色。材料说明仓库、合成网络与标准已构建，工作流、Agent 与流水线仍待开发。
工具与应用02
Datadog 为 IaC 安全扫描加入了自定义规则功能，让企业能检查自己特有的基础设施规定，比如必须打哪些标签、只能用哪些实例类型、资源怎么命名。以前默认规则只能覆盖通用安全问题，内部要求往往得靠人工在代码审查时检查。现在可以用自然语言描述需求，AI 会生成对应的 Rego 策略和示例配置，在编辑器里验证后再发布，并支持版本历史与回滚。发布后，违规结果会出现在拉取请求评论、IDE 插件和 IaC 安全结果浏览器里，还能接入 PR 门禁和自动化流程，无需另建工作流。该功能现已可使用，支持 Ansible、CloudFormation、Dockerfile、Kubernetes、Terraform 和 GitHub Actions。
文中可用工具
- Datadog IaC Security在部署前扫描基础设施即代码，发现并标记配置问题
- Rego用来编写自定义策略的规则语言，基于 Open Policy Agent
- Open Policy Agent提供 Rego 语言和策略执行能力的开源引擎
- Bits Chat辅助创建策略的对话工具
- Terraform编写和管理云基础设施的代码工具，自定义规则支持扫描它
- Ansible自动化配置管理工具，自定义规则支持扫描它
- AWS CloudFormationAWS 的基础设施即代码服务，自定义规则支持扫描它
- Dockerfile定义容器镜像构建步骤的文件，自定义规则支持扫描它
- Kubernetes容器编排平台，自定义规则支持扫描它
- GitHub ActionsGitHub 的自动化工作流，自定义规则支持扫描它
- PR Gates在拉取请求阶段拦截违反自定义策略的合并
- Findings Automation Pipelines根据安全发现结果触发自动化动作
工具与应用03
Harness 在一篇博客中介绍了如何在不拖慢开发团队的前提下，加强开发者门户的安全、合规与可审计性。问题在于：当基础设施模板和脚本散落在各处，开发者容易用错配置、权限过大，导致数据库密钥泄露或跳过安全检查。解决办法是把安全控制、自动审计日志和基于角色的权限直接嵌入内部开发者门户（IDP），让开发者走预设的安全路径，而不用手动审批。对读者的用处是：了解如何减少合规风险，同时让开发照常快速推进。文中提到的做法偏向最佳实践，并非一个具体可直接使用的新产品发布；部分细节原文未说明。
文中可用工具
- Harness帮助简化内部开发者门户的治理，把安全检查和审计嵌入交付流程
- Harness IDP内部开发者门户，用来设定安全标准并让开发者在门户内完成工作
- Terraform基础设施即代码模板，原文用它举例说明错误模板可能带来的风险
- Slack团队沟通工具，原文提到用它询问微服务归属
工具与应用04
本文介绍如何通过 Harness Pipelines 与 Harness Terraform Provider 构建一条全自动 CI/CD 流水线：在 CI 步骤中内联运行 Terraform 动态创建唯一命名的 Docker 镜像仓库，构建并推送容器镜像，再将其部署到 Kubernetes，并通过输出变量与 Harness 表达式在各阶段间传递数据，全程无需手动操作 UI。