Staging istehsalat deyil: ona öz giriş sərhədi verin

Staging, mühitində kopyalanmış istehsalat verilənlər bazasını, canlı poçt etimadnaməsini və ödəniş açarını görməyincə test sistemi kimi görünür. Həmin nöqtədə tabdakı etiket əhəmiyyətini itirir və əsas sual bu yerləşdirmənin hara çata biləcəyi və ona kimin çata biləcəyi olur. Ön qapı VPN-i bu suala cavab vermir, çünki sistemə gedən bir yolu məhdudlaşdırır və sistemin çıxışda nə edə biləcəyi barədə heç nə demir. Auditoriyadan başlayın və bayıra doğru irəliləyin.

URL ilə deyil, auditoriya ilə başlayın

Üç auditoriya üç fərqli dizayn yaradır. Şəxsi mühəndislik mühiti kimlik və marşrut tələb edir; müştəri qəbul testi müştəriləri təmsil edən hesablar tələb edir; ictimai nümayiş öz nəzarətləri ilə qəsdən məruz qalma tələb edir. Auditoriyanı əvvəlcə yazmaq, önizləmə URL-inin səssizcə daimi olması kimi adi sürüşmənin qarşısını alır. Baxışdakı hər şey həmin cavabdan asılıdır.

Heç kim auditoriyanı adlandıra bilmirsə, bunu sənədləşdirmə boşluğu kimi deyil, ilk tapıntı kimi qəbul edin.

Ön qapıdan və onun arxasındakı səthlərdən keçin

Sizə verilən URL-ə güvənməzdən əvvəl adları həll edin, sonra inzibati yolları birbaşa soruşun.

dig +short staging.example.com
curl -sS -o /dev/null -w "%{http_code}\n" https://staging.example.com/
curl -sS -o /dev/null -w "%{http_code}\n" https://staging.example.com/admin

Əlavə qeydlər çox vaxt CDN və ya VPN girişini yan keçən birbaşa mənbə ünvanını üzə çıxarır ki, bu da nəzərdə tutulan nəzarəti seçimli edir. Yönləndirmə tətbiqin harada yaşadığını düşündüyünü bildirir və gözlənilməz sxem və ya host adı əlavə yoxlama tələb edir. Ehtimal olunan admin marşrutunun yoxlanması səhifə deyil, rədd nəticəsi verməlidir. Autentifikasiyasız inzibati yolda 200 cavabı bütün baxışın axtardığı tapıntıdır.

Mühitin nə göstərdiyinə deyil, nə edə bildiyinə baxın

Giriş tələb edən səhifə yenə də arxa plan səlahiyyəti ilə göndərilir. İş yükünün hansı kimliklə işlədiyini soruşun, sonra ona bağlı siyasətləri oxuyun.

aws sts get-caller-identity

Bu çağırış mühitin həqiqətən istifadə etdiyi hesabı və prinsipi bildirir ki, bu da hər aşağı axın icazə sualı üçün başlanğıc nöqtəsidir. Oradan kimliyin poçt göndərə, pul köçürə, istehsalat sirlərini oxuya və ya istehsalat məlumatlarını yaza biləcəyini yoxlayın. Birgə istehsalat etimadnamələrini məhdud əhatəli staging kimlikləri ilə əvəz edin və mövcud olduqda təchizatçı sandbox-larına üstünlük verin. Real kartdan ödəniş tuta bilən test hesabı fərqli host adı olan istehsalat sistemidir.

Baxış bitdikdən sonra sərhədi saxlayın

Mühit bir auditlə qorunmur; kadr dəyişikliklərinə davam edən sahibliklə qorunur. Girişi kimin çıxardığını, test məlumatlarını sıfırladığını və yerləşdirməni təqaüdə çıxardığını təyin edin və önizləməyə kimsənin yeniləməli olduğu bitmə tarixi verin. İzolyasiya yalnız təcrid olunmuş şey saxlanıldıqca kömək edir. Növbəti buraxılışdan sonra eyni yolları yenidən yoxlayın, çünki xüsusiyyət bayrağı və ya yeni inteqrasiya rədd edilmiş marşrutun açıq birinə çevrilməsinin dəqiq yoludur.

Dizaynı icazə verilən bir iş axını və rədd edilən biri ilə qəbul edin. İkisi də sənədləşdirildiyi kimi davranırsa, sərhəd mövcuddur; yalnız xoşbəxt yol sınanıbsa, bu bir ümiddir.