L’entorn de proves no és producció: doneu-li una frontera d’accés pròpia

L’entorn de proves sembla un sistema de proves fins que notes la base de dades de producció copiada, la credencial de correu activa i la clau de pagament dins del seu entorn. En aquell moment l’etiqueta de la pestanya deixa de tenir importància i la pregunta real és a què pot arribar aquest desplegament i qui hi pot arribar. Una VPN de porta d’entrada no respon aquesta pregunta, perquè limita un sol camí cap al sistema i no diu res sobre què pot fer el sistema a la sortida. Comenceu pel públic i aneu cap enfora.

Comenceu pel públic, no per l’URL

Tres públics produeixen tres dissenys diferents. Un entorn privat d’enginyeria necessita identitat i una ruta; una prova d’acceptació de client necessita comptes que representin clients; una demostració pública necessita una exposició deliberada amb els seus propis controls. Escriure el públic primer evita la deriva habitual en què un URL de previsualització es converteix silenciosament en permanent. Tota la resta de la revisió depèn d’aquesta resposta.

Si ningú no pot anomenar el públic, tracteu-ho com la primera troballa i no com una llacuna de documentació.

Recorreu la porta d’entrada i les superfícies que hi ha al darrere

Resoleu els noms abans de confiar en l’URL que us han donat, i després demaneu els camins administratius directament.

dig +short staging.example.com
curl -sS -o /dev/null -w "%{http_code}\n" https://staging.example.com/
curl -sS -o /dev/null -w "%{http_code}\n" https://staging.example.com/admin

Els registres addicionals sovint revelen una adreça d’origen directe que salta la CDN o l’entrada de la VPN, cosa que fa opcional el control previst. Una redirecció us diu on creu l’aplicació que viu, i un esquema o un nom d’amfitrió inesperat mereix un seguiment. Sondar una ruta d’administració probable hauria de produir una denegació, no una pàgina. Un 200 en un camí administratiu no autenticat és la troballa que buscava tota la revisió.

Comproveu què pot fer l’entorn, no només què mostra

Una pàgina que requereix inici de sessió encara s’entrega amb autoritat de backend. Pregunteu sota quina identitat s’executa la càrrega de treball i després llegiu les polítiques que hi estan associades.

aws sts get-caller-identity

Aquesta crida informa del compte i el principal que l’entorn utilitza realment, que és el punt de partida de tota pregunta posterior sobre permisos. A partir d’aquí, comproveu si la identitat pot enviar correu, moure diners, llegir secrets de producció o escriure dades de producció. Substituïu les credencials de producció compartides per identitats de proves limitades i preferiu les sandbox dels proveïdors quan existeixin. Un compte de prova que pot cobrar una targeta real és un sistema de producció amb un altre nom d’amfitrió.

Manteniu la frontera després que acabi la revisió

Un entorn no es protegeix amb una sola auditoria; es protegeix amb una propietat que sobreviu als canvis de personal. Assigneu qui retira l’accés, restableix les dades de prova i retira el desplegament, i doneu a la previsualització una caducitat que algú hagi de renovar. L’aïllament només ajuda mentre la cosa aïllada es manté. Torneu a comprovar els mateixos camins després de la versió següent, perquè un indicador de funcionalitat o una integració nova és exactament com una ruta denegada es converteix en oberta.

Accepteu el disseny amb un flux de treball permès i un de denegat. Si tots dos es comporten com està documentat, la frontera existeix; si només s’ha provat el camí feliç, és una esperança.