Töövõtja juurdepääs hoidlale: avalik sissepääs või VPN-tee?

Töövõtjal on piiratud projekti jaoks vaja ühte privaatset hoidlat ja taotlus tuleb kas kujul «tee hoidla avalikuks» või «anna neile VPN-juurdepääs». Mõlemad vastused väldivad tegelikku küsimust. Hoidla autoriseerimine ja võrgu sissepääs on eraldi kihid ning oluline luba on see, mis võimaldab sellel inimesel lugeda või pushida just sellesse ühte hoidlasse. Kõik muu kummaski paketis on lisarisk. Kujundage esmalt autoriseerimiskiht ja seejärel otsustage, kui vähe võrguteed see vajab.

Illustreeriv töö teeb selle konkreetseks: üks väline arendaja, üks hoidla, ühtegi tootmisserverit, ühtegi haldusliidest. Hoidke see ulatus fikseeritud, kuni sissepääse võrdlete.

Kaks sissepääsu, kaks erinevat piiri

Avalikult kättesaadav hoidlateenus rakendab endiselt HTTPS- või SSH-autentimist ja rakenduse autoriseerimist. Avalik kättesaadavus ei tähenda anonüümset loetavust. Hind on kuulaja, mida tuleb hooldada, jälgida ja paigata.

VPN-i sissepääs võib selle kuulaja avalikult teelt eemale hoida, kuid lai VPN-konto võib paljastada mitteseotud teenuseid. Üle jäänud avalik hostinimi, SSH-kuulaja või ununenud aadressiperekond võivad nurjata ainult-VPN-i piiri, mille arvasite endal olevat. Seetõttu vajab ainult-VPN-i lahendus kuulajate loendit, mitte ainult tulemüürireeglit.

Võrrelge lubatud teid, mitte silte. Igal juhul hoidke rakenduse autentimine ja tavaline serveri identiteedi valideerimine paigas.

Hoidla rollid on loa ühik

Andke töövõtjale individuaalne identiteet väikseima rolliga, mis ülesande täidab. Vahetamine, push, hooldamine ja haldamine on erinevad rollid ning grupp, mis annab iga sisemise projekti, ei ole sama mis juurdepääs ühele hoidlale. Kontrollige oma platvormil tegelikke rollinimesid, selle asemel et eeldada, et grupi nimi vastab ühele rollile.

Loetlege iga toiming, mida töö tegelikult vajab. Brauseri juurdepääs ja Git-i transport võivad kasutada erinevaid mandaate või kuulajaid. Automatiseeritud ehitused, paketi allalaadimised ja webhookid võivad töötada eraldi identiteetidena oma tarneteedega ning sülearvuti VPN ei ühenda neid.

Hoidla sisu kaitsmine on eraldi töö. Sissepääsutee muutmine ei eemalda juba ajaloos olevat saladust, ei piira volitatud klooni ega kindlusta kaastöötaja tööjaama.

Mandaadid, mis elavad inimest kauem

Lahkumine on koht, kus hoidla juurdepääs ja võrgu juurdepääs taas lahknevad. Eemaldage hoidla autoriseerimine ja VPN-i õigus nende omanike kaudu, seejärel kontrollige isiklikke võtmeid, SSH-võtmeid, automatiseerimise mandaate ja aktiivseid sessioone. Juurutusvõti on klassikaline ellujääja: see võib säilitada seadistatud lugemis- või kirjutamisjuurdepääsu pärast seda, kui inimene on organisatsioonist lahkunud. Liikmelisuse nimekirjast eemaldamine ei ole täielik lahkumine.

Kaardistage masinamandaadid omaniku ja otstarbe järgi enne töö lõppu, mitte pärast. Ühenädalase ehituse jaoks loodud võti võib projektist aasta kauem elada, kui keegi ei kirjutanud üles, miks see olemas on.

Kontrollige toimingut, keeldumist ja lahkumist

Enne üleandmist testige kolme asja: lubatud hoidla toiming õnnestub, mitteseotud hoidla keeldutakse ja pensionile saadetud identiteet ebaõnnestub. Kui lahendus on ainult-VPN, kinnitage, et vana otsene avalik tee ei saa enam toimingut teha.

Hoidke kood ja ülevaatuse kirjed alles, kuid ärge laske unustatud juurdepääsul saada taastamise plaaniks. Kirjalik nimekiri identiteetidest, rollidest ja aegumiskuupäevadest on see, mis teeb järgmise töövõtja taotluse korratavaks protsessiks.