Podratçının repozitoriyaya girişi: açıq giriş, yoxsa VPN yolu?

Podratçıya məhdud layihə üçün bir şəxsi repozitoriya lazımdır və sorğu ya «repozitoriyanı açıq et» ya da «onlara VPN girişi ver» kimi gəlir. Hər iki cavab əsl sualı atlayır. Repozitoriya avtorizasiyası və şəbəkə girişi ayrı qatlamlardır və vacib olan icazə həmin şəxsin yalnız həmin repozitoriyaya oxumaq və ya push etmək imkanıdır. Hər iki paketdə qalan hər şey əlavə riskdir. Əvvəlcə avtorizasiya qatlamını dizayn edin, sonra ona nə qədər az şəbəkə yolu lazım olduğuna qərar verin.

İllüstrativ bir iş bunu konkretləşdirir: bir xarici developer, bir repozitoriya, istehsal hostları yoxdur, idarəetmə interfeysi yoxdur. Girişləri müqayisə edərkən bu əhatəni sabit saxlayın.

İki giriş, iki fərqli sərhəd

Açıq şəkildə əlçatan repozitoriya xidməti yenə də HTTPS və ya SSH autentifikasiyası və tətbiq avtorizasiyası tətbiq edir. Açıq əlçatanlıq anonim oxuna bilənlik demək deyil. Qiymət saxlamalı, izləməli və yamaq vurmalı olduğunuz bir dinləyicidir.

VPN girişi həmin dinləyicini açıq yoldan kənarda saxlaya bilər, lakin geniş VPN hesabı əlaqəsiz xidmətləri aça bilər. Qalmış açıq host adı, SSH dinləyicisi və ya unutduğunuz bir ünvan ailəsi, sahib olduğunuzu düşündüyünüz yalnız-VPN sərhədini poza bilər. Buna görə yalnız-VPN dizaynı yalnız firewall qaydasına deyil, dinləyicilərin inventarına ehtiyac duyur.

Etiketləri deyil, icazə verilən yolları müqayisə edin. Hər halda tətbiq autentifikasiyasını və normal server kimliyi yoxlamasını yerində saxlayın.

Repozitoriya rolları icazənin vahididir

Podratçıya tapşırığı tamamlayan ən kiçik rolla fərdi kimlik verin. Baxmaq, push etmək, saxlamak və idarə etmək fərqli rollardır və hər daxili layihəni verən qrup bir repozitoriyaya girişlə eyni deyil. Qrup adının bir rola uyğun gəldiyini güman etmək əvəzinə platformanızdakı faktiki rol adlarını yoxlayın.

İşin həqiqətən ehtiyac duyduğu hər əməliyyatı sadalayın. Brauzer girişi və Git nəqliyyatı fərqli etimadnamələr və ya dinləyicilər istifadə edə bilər. Avtomatlaşdırılmış build-lər, paket yükləmələri və webhook-lar öz çatdırılma yolları olan ayrı kimliklər kimi işləyə bilər və noutbukdakı VPN onları birləşdirmir.

Repozitoriyanın məzmununu qorumaq ayrı bir işdir. Giriş yolunu dəyişmək tarixçədə artıq olan sirri silmir, icazəli klonu məhdudlaşdırmır və ya töhfə verənin iş stansiyasını təmin etmir.

Şəxsdən uzun yaşayan etimadnamələr

İşdən çıxarma repozitoriya girişi ilə şəbəkə girişinin yenidən ayrıldığı yerdir. Repozitoriya avtorizasiyasını və VPN hüququnu öz sahibləri vasitəsilə silin, sonra şəxsi tokenləri, SSH açarlarını, avtomatlaşdırma etimadnamələrini və aktiv sessiyaları yoxlayın. Deploy açarı klassik qalıqdır: şəxs təşkilatdan ayrıldıqdan sonra da konfiqurasiya edilmiş oxuma və ya yazma girişini saxlaya bilər. Üzvlük siyahısından silmə tam offboarding deyil.

Maşın etimadnamələrini iş bitməzdən əvvəl sahib və məqsəd üzrə inventarlaşdırın, sonra deyil. Bir həftəlik build üçün yaradılan token, niyə mövcud olduğu yazılmadıqca layihəni bir il üstələyə bilər.

Əməliyyatı, rəddi və offboarding-i yoxlayın

Təhvil verməzdən əvvəl üç şeyi sınaqdan keçirin: icazə verilən repozitoriya əməliyyatı uğurludur, əlaqəsiz repozitoriya rədd edilir və çıxarılmış kimlik uğursuz olur. Dizayn yalnız-VPN-dirsə, köhnə birbaşa açıq marşrutun artıq əməliyyatı yerinə yetirə bilmədiyini təsdiqləyin.

Kodu və baxış qeydlərini saxlayın, lakin unudulmuş girişin bərpa planına çevrilməsinə imkan verməyin. Kimliklərin, rolların və bitmə tarixlərinin yazılı siyahısı növbəti podratçı sorğusunu təkrarlana bilən prosesə çevirir.