Πρόσβαση εργολάβου στο αποθετήριο: δημόσια είσοδος ή διαδρομή VPN;

Ένας εργολάβος χρειάζεται ένα ιδιωτικό αποθετήριο για ένα περιορισμένο έργο, και το αίτημα φτάνει είτε ως «κάντε το αποθετήριο δημόσιο» είτε ως «δώστε τους πρόσβαση VPN». Και οι δύο απαντήσεις παρακάμπτουν το πραγματικό ερώτημα. Η εξουσιοδότηση του αποθετηρίου και η δικτυακή είσοδος είναι ξεχωριστά επίπεδα, και η άδεια που μετράει είναι εκείνη που επιτρέπει σε αυτό το άτομο να διαβάζει ή να κάνει push σε αυτό ακριβώς το αποθετήριο. Ό,τι άλλο υπάρχει σε οποιοδήποτε πακέτο είναι πρόσθετος κίνδυνος. Σχεδιάστε πρώτα το επίπεδο εξουσιοδότησης και μετά αποφασίστε πόσο λίγη δικτυακή διαδρομή χρειάζεται.

Μια ενδεικτική ανάθεση το κάνει συγκεκριμένο: ένας εξωτερικός προγραμματιστής, ένα αποθετήριο, χωρίς παραγωγικούς διακομιστές, χωρίς διεπαφή διαχείρισης. Κρατήστε αυτό το εύρος σταθερό όσο συγκρίνετε τις εισόδους.

Δύο είσοδοι, δύο διαφορετικά όρια

Μια υπηρεσία αποθετηρίου προσβάσιμη δημόσια εξακολουθεί να επιβάλλει έλεγχο ταυτότητας HTTPS ή SSH και εξουσιοδότηση εφαρμογής. Η δημόσια προσβασιμότητα δεν σημαίνει ανώνυμη αναγνωσιμότητα. Το κόστος είναι ένας ακροατής που πρέπει να συντηρείτε, να παρακολουθείτε και να ενημερώνετε.

Μια είσοδος VPN μπορεί να κρατήσει αυτόν τον ακροατή εκτός της δημόσιας διαδρομής, αλλά ένας ευρύς λογαριασμός VPN μπορεί να εκθέσει άσχετες υπηρεσίες. Ένα ξεχασμένο δημόσιο όνομα κεντρικού υπολογιστή, ένας ακροατής SSH ή μια οικογένεια διευθύνσεων που ξεχάσατε μπορούν να ακυρώσουν το όριο μόνο-VPN που νομίζατε ότι είχατε. Γι' αυτό ένα σχέδιο μόνο-VPN χρειάζεται απογραφή ακροατών, όχι μόνο έναν κανόνα τείχους προστασίας.

Συγκρίνετε επιτρεπόμενες διαδρομές, όχι ετικέτες. Σε κάθε περίπτωση, κρατήστε τον έλεγχο ταυτότητας εφαρμογής και την κανονική επικύρωση ταυτότητας διακομιστή.

Οι ρόλοι στο αποθετήριο είναι η μονάδα άδειας

Δώστε στον εργολάβο ατομική ταυτότητα με τον μικρότερο ρόλο που ολοκληρώνει την εργασία. Η προβολή, το push, η συντήρηση και η διαχείριση είναι διαφορετικοί ρόλοι, και μια ομάδα που παραχωρεί κάθε εσωτερικό έργο δεν είναι το ίδιο με πρόσβαση σε ένα αποθετήριο. Ελέγξτε τα πραγματικά ονόματα ρόλων στην πλατφόρμα σας αντί να υποθέσετε ότι ένα όνομα ομάδας αντιστοιχεί σε έναν ρόλο.

Καταγράψτε κάθε λειτουργία που χρειάζεται πραγματικά η ανάθεση. Η πρόσβαση από πρόγραμμα περιήγησης και η μεταφορά Git μπορεί να χρησιμοποιούν διαφορετικά διαπιστευτήρια ή ακροατές. Οι αυτοματοποιημένες κατασκευές, οι λήψεις πακέτων και τα webhook μπορούν να εκτελούνται ως ξεχωριστές ταυτότητες με τις δικές τους διαδρομές παράδοσης, και ένα VPN στον φορητό υπολογιστή δεν τα συνδέει.

Η προστασία του περιεχομένου του αποθετηρίου είναι ξεχωριστή εργασία. Η αλλαγή της διαδρομής εισόδου δεν αφαιρεί ένα μυστικό που βρίσκεται ήδη στο ιστορικό, δεν περιορίζει ένα εξουσιοδοτημένο κλώνο και δεν ασφαλίζει τον σταθμό εργασίας ενός συνεισφέροντα.

Διαπιστευτήρια που ζουν περισσότερο από το άτομο

Η αποχώρηση είναι το σημείο όπου η πρόσβαση στο αποθετήριο και η δικτυακή πρόσβαση αποκλίνουν ξανά. Αφαιρέστε την εξουσιοδότηση του αποθετηρίου και το δικαίωμα VPN μέσω των αντίστοιχων ιδιοκτητών τους και μετά ελέγξτε προσωπικά token, κλειδιά SSH, διαπιστευτήρια αυτοματισμού και ενεργές συνεδρίες. Ένα κλειδί ανάπτυξης είναι ο κλασικός επιζών: μπορεί να διατηρήσει τη ρυθμισμένη πρόσβαση ανάγνωσης ή εγγραφής αφού το άτομο φύγει από τον οργανισμό. Η αφαίρεση από μια λίστα μελών δεν είναι πλήρης αποχώρηση.

Απογράψτε τα διαπιστευτήρια μηχανημάτων ανά ιδιοκτήτη και σκοπό πριν τελειώσει η ανάθεση, όχι μετά. Ένα token που δημιουργήθηκε για μια εβδομαδιαία κατασκευή μπορεί να επιβιώσει του έργου κατά ένα έτος αν κανείς δεν έγραψε γιατί υπάρχει.

Επαληθεύστε τη λειτουργία, την άρνηση και την αποχώρηση

Πριν την παράδοση, δοκιμάστε τρία πράγματα: η επιτρεπόμενη λειτουργία στο αποθετήριο πετυχαίνει, ένα άσχετο αποθετήριο απορρίπτεται και η αποσυρμένη ταυτότητα αποτυγχάνει. Αν το σχέδιο είναι μόνο-VPN, επιβεβαιώστε ότι η παλιά άμεση δημόσια διαδρομή δεν μπορεί πλέον να εκτελέσει τη λειτουργία.

Κρατήστε τον κώδικα και τα αρχεία αναθεώρησης, αλλά μην αφήσετε τη ξεχασμένη πρόσβαση να γίνει το σχέδιο ανάκτησης. Μια γραπτή λίστα ταυτοτήτων, ρόλων και ημερομηνιών λήξης είναι αυτό που κάνει το επόμενο αίτημα εργολάβου επαναλήψιμη διαδικασία.