Mynediad contractwr i ystorfa: mynedfa gyhoeddus neu lwybr VPN?

Mae angen un ystorfa breifat ar gontractwr ar gyfer prosiect cyfyngedig, ac mae’r cais yn dod naill ai fel «gwnewch yr ystorfa yn gyhoeddus» neu «rhowch fynediad VPN iddynt». Mae’r ddau ateb yn osgoi’r cwestiwn go iawn. Mae awdurdodi’r ystorfa a mynediad rhwydwaith yn haenau ar wahân, a’r caniatâd sy’n bwysig yw’r un sy’n gadael i’r person hwnnw ddarllen neu wthio i’r un ystorfa honno. Mae popeth arall yn y naill becyn neu’r llall yn risg ychwanegol. Dyluniwch yr haen awdurdodi yn gyntaf, yna penderfynwch pa mor fach o lwybr rhwydwaith sydd ei angen.

Mae ymgysylltiad darluniadol yn gwneud hyn yn konkret: un datblygwr allanol, un ystorfa, dim gwesteiwyr cynhyrchu, dim rhyngwyneb gweinyddu. Cadwch y cwmpas hwnnw’n sefydlog wrth i chi gymharu’r mynedfeydd.

Dwy fynedfa, dwy ffin wahanol

Mae gwasanaeth ystorfa y gellir ei gyrraedd yn gyhoeddus yn dal i orfodi dilysu HTTPS neu SSH ac awdurdodiad cymhwysiad. Nid yw cyrraedd cyhoeddus yn golygu darllenwydd dienw. Y gost yw gwrandäwr y mae’n rhaid i chi ei gynnal, ei fonitro a’i glytio.

Gall mynedfa VPN gadw’r gwrandäwr hwnnw oddi ar y llwybr cyhoeddus, ond gall cyfrif VPN eang ddatgelu gwasanaethau annibynnol. Gall enw gwesteiwr cyhoeddus a adawyd ar ôl, gwrandäwr SSH, neu deulu cyfeiriadau y gwnaethoch ei anghofio drechu’r ffin VPN-yn-unig y credasoch oedd gennych. Dyna pam mae dyluniad VPN-yn-unig angen rhestr o wrandawyr, nid rheol mur tan yn unig.

Cymharwch lwybrau a ganiateir, nid labeli. Naill ffordd neu’r llall, cadwch ddilysu cymhwysiad a gwirio arferol hunaniaeth y gweinydd yn eu lle.

Rolau’r ystorfa yw uned y caniatâd

Rhowch hunaniaeth unigol i’r contractwr gyda’r rôl leiaf sy’n cwblhau’r dasg. Mae gwylio, gwthio, cynnal a gweinyddu yn rolau gwahanol, ac nid yw grŵp sy’n rhoi pob prosiect mewnol yr un peth â mynediad i un ystorfa. Gwiriwch enwau gwirioneddol y rolau yn eich platfform yn lle tybio bod enw grŵp yn mapio i un rôl.

Rhestrwch bob gweithrediad sydd ei angen ar yr ymgysylltiad mewn gwirionedd. Gall mynediad porwr a chludiant Git ddefnyddio gwahanol gefnogaethau neu wrandawyr. Gall adeiladwaith awtomatig, lawrlwythiadau pecynnau a webhooks redeg fel hunaniaethau ar wahân gyda’u llwybrau danfon eu hunain, ac nid yw VPN ar y gliniadur yn eu cysylltu.

Mae diogelu cynnwys yr ystorfa yn waith ar wahân. Nid yw newid y llwybr mynedfa yn dileu cyfrinach sydd eisoes yn yr hanes, yn cyfyngu clôn awdurdodedig, nac yn diogelu gweithfan cyfrannwr.

Cefnogaethau sy’n byw’n hwy na’r person

Yma y mae mynediad ystorfa a mynediad rhwydwaith yn gwahanu eto wrth i rywun adael. Tynnwch awdurdodiad yr ystorfa a’r hawl VPN drwy eu perchnogion priodol, yna gwiriwch docynnau personol, allweddi SSH, cefnogaethau awtomeiddio a sesiynau gweithredol. Allwedd defnyddio yw’r goroeswr clasurol: gall gadw ei fynediad darllen neu ysgrifennu cyfluniedig ar ôl i’r person adael y sefydliad. Nid yw dileu o restr aelodaeth yn ddiarddel cyflawn.

Rhestrwch gefnogaethau peiriant yn ôl perchennog a phwrpas cyn i’r ymgysylltiad ddod i ben, nid ar ôl. Gall tocyn a grëwyd ar gyfer adeiladwaith wythnos fyw y tu hwnt i’r prosiect am flwyddyn os na ysgrifennodd neb pam y mae’n bodoli.

Gwirwch y gweithrediad, y gwrthodiad a’r ymadawiad

Cyn trosglwyddo, profwch dri pheth: mae’r gweithrediad ystorfa a ganiateir yn llwyddo, mae ystorfa annibynnol yn cael ei gwrthod, ac mae’r hunaniaeth a ddiswyddwyd yn methu. Os yw’r dyluniad yn VPN-yn-unig, cadarnhewch na all yr hen lwybr cyhoeddus uniongyrchol wneud y gweithrediad mwyach.

Cadwch y cod a’r cofnodion adolygu, ond peidiwch â gadael i fynediad a anghofiwyd ddod yn gynllun adfer. Rhestr ysgrifenedig o hunaniaethau, rolau a dyddiadau dod i ben yw’r hyn sy’n gwneud cais y contractwr nesaf yn broses y gellir ei hailadrodd.