Вышел очередной технический радар от ThoughtWorks.
Много новых рекомендаций по построению инфраструктурных платформ и по безопасности. Ссылка на PDF http://e42.link/3TgaoCx

Ниже небольшой разбор отчета.

Техники:
Path-to-production mapping (вариант Value stream mapping) появился на радаре только-только и сразу в квадранте Adopt.
Продолжается использование концептов из Team Topologies. В этот раз говорится про:
Team cognitive load — при проектировании структуры команд ориентируемся на снижение когнитивной нагрузки для команд
Incremental developer platform — строим платформу по кусочкам, слой за слоем, а не пытаемся сразу построить гигантское здание
Активны темы про безопасность:
Обновили описание про Threat modelling (модель угроз)
SLSA и SBOM переехали из Assess в Trial (это соответственно рекомендации по безопасному управлению опенсорсными зависимостями, и формат описания таких зависимостей)
Github push protection — быстрое сканирование кода при пуше и блокировка, если он не проходит проверки (например, содержит секреты в открытом виде). Классически сканирование проводилось уже после того как такой код попадает в репозиторий, а т.е. секреты в открытом виде становятся доступны атакующим в будущем.
Появилась тема «Observability for CI/CD pipelines» — мониторинг пайплайнов команд для того, чтобы помочь им разобраться с возможными проблемами процесса
Принципы SOLID предлагают заменить на характеристики CUPID, которыми должно обладать современные приложения
SLI/SLO as code уже появился на радаре, хотя спецификация OpenSLO появилась всего лишь год назад. Идея в том, чтобы описывать SLI/SLO прямо в коде (например в YAML), и из этого описания инструменты мониторинга будут сами собой строить алерты и графики с ключевыми метриками.
Поднимается тема «облачных монолитов» (мы бы добавили сюда и «инфраструктурные монолиты») — приложений, которые по-модному запущены на облаках, но в которых невозможно изменить небольшой кусок, чтобы не пришлось переделывать все приложение целиком. Естественно, про это говорится в квадранте Hold, т.е. это предостережение о такой опасности.

Платформы:
Backstage наконец дошел до состояния Adopt, т.е. он однозначно рекомендуется к использованию.
Colima в качестве альтернативы для Docker Desktop
Несколько интересных платформ в области Data/ML
На радаре появились VictoriaMetrics в качестве бакенда к Prometheus (но сами Thoughtworks рекомендуют также присмотреться к Cortex и Thanos)
Keptn — платформа для SRE, первая(?) в своем роде. Идея в том, что при движении по пайплайну в сторону продакшна становятся необходимыми совсем другие способы движения по пайплайну — мы это знаем в контексте, например Canary Deployment или Rolling Deploy. При помощи Keptn можно строить сложные оркестрации деплоя, которые будут учитывать, например SLO в качестве Quality Gate, или делать подобные же сложные многоступенчатые раскатки по нескольким окружения. Естественно, с дашбордами и всем что нужно, чтобы этим удобно было пользоваться для SRE

Инструменты:
k6 перешел в Adopt, это инструмент для нагрузочного тестирования
Cruft — инструмент для упрощения обновления шаблонов-генераторов и прочего бойлерплейта (например, helm-чартов, которые обычно копипастятся в каждый сервис, и которые потом больно обновлять), работает на базе Cookiecutter
Hadolint для линтинга докерфайлов
Наконец, на радаре появился Kaniko для сборки контейнеров
Для тестирования OpenAPI/ AsyncAPI контрактов появился Spectral
Styra для отладки политик Open Policy Agent
Пара инструментов для управления затратами на облако: Infracost и Harness Cloud Cost Management
Karpenter как интеллектуальная на замену Cluster Autoscaler
Mizu для отладки сетевой связности Kubernetes
Teller для управления секретами на рабочем компьютере для различных окружений — этот инструмент автоматически вытаскивает и подставляет секреты из большого количества разных бакендов, и за счет его настроек можно однообразно запускать приложения на рабочем компьютере, в CI и на продакшне