স্টেজিং প্রোডাকশন নয়: এটিকে নিজস্ব অ্যাক্সেস সীমা দিন

স্টেজিং একটি পরীক্ষামূলক সিস্টেমের মতো দেখায়, যতক্ষণ না আপনি এর পরিবেশে অনুলিপি করা প্রোডাকশন ডেটাবেস, সক্রিয় মেইল ক্রেডেনশিয়াল এবং পেমেন্ট কী দেখতে পান। সেই মুহূর্তে ট্যাবের লেবেল গুরুত্ব হারায় এবং আসল প্রশ্ন হয় এই ডিপ্লয়মেন্ট কোথায় পৌঁছাতে পারে এবং কে এতে পৌঁছাতে পারে। সামনের দরজার VPN সেই প্রশ্নের উত্তর দেয় না, কারণ এটি সিস্টেমে ঢোকার একটি পথ সীমিত করে এবং বাইরে যাওয়ার পথে সিস্টেম কী করতে পারে সে সম্পর্কে কিছুই বলে না। দর্শক থেকে শুরু করুন এবং বাইরের দিকে এগিয়ে যান।

URL নয়, দর্শক দিয়ে শুরু করুন

তিনটি দর্শক তিনটি ভিন্ন নকশা তৈরি করে। একটি ব্যক্তিগত ইঞ্জিনিয়ারিং পরিবেশের প্রয়োজন পরিচয় ও একটি রুট; গ্রাহক গ্রহণযোগ্যতা পরীক্ষার প্রয়োজন গ্রাহকদের প্রতিনিধিত্বকারী অ্যাকাউন্ট; একটি সর্বজনীন প্রদর্শনের প্রয়োজন নিজস্ব নিয়ন্ত্রণসহ ইচ্ছাকৃত প্রকাশ। প্রথমে দর্শক লিখে রাখা সেই স্বাভাবিক প্রবণতা রোধ করে যেখানে একটি প্রিভিউ URL চুপচাপ স্থায়ী হয়ে যায়। পর্যালোচনার বাকি সবকিছু সেই উত্তরের উপর নির্ভর করে।

যদি কেউ দর্শকের নাম বলতে না পারে, তবে এটি ডকুমেন্টেশনের ঘাটতি নয়, প্রথম অনুসন্ধান হিসেবে ধরুন।

সামনের দরজা এবং তার পেছনের সারফেসগুলো হেঁটে দেখুন

আপনাকে দেওয়া URL-এ ভরসা করার আগে নামগুলো সমাধান করুন, তারপর সরাসরি প্রশাসনিক পথগুলো চেয়ে নিন।

dig +short staging.example.com
curl -sS -o /dev/null -w "%{http_code}\n" https://staging.example.com/
curl -sS -o /dev/null -w "%{http_code}\n" https://staging.example.com/admin

অতিরিক্ত রেকর্ড প্রায়ই একটি সরাসরি-উৎস ঠিকানা প্রকাশ করে যা CDN বা VPN প্রবেশপথ এড়িয়ে যায়, ফলে অভিপ্রেত নিয়ন্ত্রণটি ঐচ্ছিক হয়ে পড়ে। একটি রিডাইরেক্ট আপনাকে বলে অ্যাপ্লিকেশনটি কোথায় থাকার কথা ভাবে, এবং অপ্রত্যাশিত স্কিম বা হোস্টনেম আরও যাচাই দাবি করে। সম্ভাব্য অ্যাডমিন রুট পরীক্ষা করলে পৃষ্ঠা নয়, অস্বীকৃতি পাওয়া উচিত। প্রমাণীকরণহীন প্রশাসনিক পথে 200 পাওয়া হলো সেই অনুসন্ধান যা পুরো পর্যালোচনা খুঁজছিল।

পরিবেশটি কী দেখায় তা নয়, কী করতে পারে তা যাচাই করুন

লগইন প্রয়োজন হয় এমন পৃষ্ঠাও ব্যাকএন্ড কর্তৃত্ব নিয়ে আসে। জিজ্ঞাসা করুন ওয়ার্কলোড কোন পরিচয়ে চলছে, তারপর তার সাথে যুক্ত নীতিগুলো পড়ুন।

aws sts get-caller-identity

সেই কলটি সেই অ্যাকাউন্ট ও প্রিন্সিপাল জানায় যা পরিবেশটি প্রকৃতপক্ষে ব্যবহার করে, এবং এটিই প্রতিটি পরবর্তী অনুমতি-সংক্রান্ত প্রশ্নের সূচনা বিন্দু। সেখান থেকে দেখুন পরিচয়টি মেইল পাঠাতে, টাকা সরাতে, প্রোডাকশন সিক্রেট পড়তে বা প্রোডাকশন ডেটা লিখতে পারে কি না। শেয়ার করা প্রোডাকশন ক্রেডেনশিয়ালের বদলে সীমিত স্টেজিং পরিচয় ব্যবহার করুন, এবং যেখানে বিদ্যমান সেখানে ভেন্ডর স্যান্ডবক্স পছন্দ করুন। যে পরীক্ষা অ্যাকাউন্ট আসল কার্ড থেকে চার্জ নিতে পারে তা ভিন্ন হোস্টনেমযুক্ত একটি প্রোডাকশন সিস্টেম।

পর্যালোচনা শেষ হওয়ার পরেও সীমা ধরে রাখুন

পরিবেশ একটি নিরীক্ষা দিয়ে সুরক্ষিত হয় না; এটি এমন মালিকানায় সুরক্ষিত হয় যা কর্মী পরিবর্তনেও টিকে থাকে। নির্ধারণ করুন কে অ্যাক্সেস সরায়, পরীক্ষার ডেটা রিসেট করে এবং ডিপ্লয়মেন্ট অবসরে পাঠায়, এবং প্রিভিউকে এমন মেয়াদ দিন যা কাউকে নবায়ন করতে হবে। বিচ্ছিন্নতা কেবল তখনই সাহায্য করে যখন বিচ্ছিন্ন জিনিসটির রক্ষণাবেক্ষণ হয়। পরবর্তী রিলিজের পরে একই পথগুলো আবার যাচাই করুন, কারণ একটি ফিচার ফ্ল্যাগ বা নতুন ইন্টিগ্রেশনই ঠিক সেই উপায় যেখানে একটি প্রত্যাখ্যাত রুট খোলা রুটে পরিণত হয়।

একটি অনুমোদিত ওয়ার্কফ্লো এবং একটি প্রত্যাখ্যাত ওয়ার্কফ্লো দিয়ে নকশাটি গ্রহণ করুন। দুটোই যদি নথিভুক্তভাবে আচরণ করে, সীমাটি বিদ্যমান; যদি কেবল সুখী পথটি পরীক্ষা করা হয়, তবে এটি একটি আশা।