Kontratistaren biltegirako sarbidea: sarrera publikoa edo VPN bidea?

Kontratistak biltegi pribatu bat behar du proiektu mugatu baterako, eta eskaera «egin biltegia publiko» edo «eman iezaiezu VPN sarbidea» gisa iristen da. Bi erantzunek benetako galdera saihesten dute. Biltegiko baimenak eta sareko sarrera geruza bereiziak dira, eta garrantzia duen baimena pertsona horri biltegi horretan bertan irakurtzeko edo push egiteko aukera ematen diona da. Beste edozein paketetan dagoen guztia arrisku gehigarria da. Diseinatu lehenik baimen-geruza, eta gero erabaki zenbat sare-bide behar duen gutxienez.

Kontratu ilustratibo batek zehazten du: kanpoko garatzaile bat, biltegi bat, produkzio ostalaririk ez, administrazio interfazerik ez. Mantendu irismen hori finko sarrerak alderatzen dituzun bitartean.

Bi sarrera, bi muga desberdin

Publikoki irisgarria den biltegi-zerbitzu batek HTTPS edo SSH autentifikazioa eta aplikazioaren baimena betearazten jarraitzen du. Irisgarritasun publikoak ez du esan nahi irakurgarritasun anonimoa. Kostua mantendu, monitorizatu eta adabakitu behar duzun entzule bat da.

VPN sarrera batek entzule hori bide publikotik kanpo eduki dezake, baina VPN kontu zabal batek erlaziorik gabeko zerbitzuak agerian utz ditzake. Ahaztutako ostalari-izen publiko batek, SSH entzule batek edo ahaztu duzun helbide-familia batek ustez zenuen VPN soilik muga gaindi dezakete. Horregatik VPN soilik diseinu batek entzuleen inbentarioa behar du, ez bakarrik suebakiko araua.

Alderatu baimendutako bideak, ez etiketak. Edozein kasutan, mantendu aplikazioaren autentifikazioa eta zerbitzariaren identitatearen ohiko baliozkotzea.

Biltegiko rolak dira baimenaren unitatea

Eman kontratistari zeregina osatzen duen rolik txikienarekin identitate indibiduala. Ikustea, push egitea, mantentzea eta administratzea rol desberdinak dira, eta barne proiektu guztiak ematen dituen talde bat ez da biltegi baterako sarbidearen berdina. Egiaztatu zure plataformako rol-izen errealak, talde-izen bat rol bakar bati dagokiola suposatu beharrean.

Zerrendatu kontratuak benetan behar duen eragiketa bakoitza. Nabigatzaileko sarbideak eta Git garraioak kredentzial edo entzule desberdinak erabil ditzakete. Eraikuntza automatizatuek, pakete deskargek eta webhookek identitate bereiziekin funtziona dezakete, beren entrega-bideekin, eta eramangailuaren VPNak ez ditu horiek konektatzen.

Biltegiaren edukia babestea lan bereizia da. Sarrera-bidea aldatzeak ez du historian dagoen sekretua kentzen, ez du baimendutako klon bat murrizten eta ez du kolaboratzaile baten lan-estazioa babesten.

Pertsona baino gehiago bizi diren kredentzialak

Irteera da biltegiko sarbidea eta sareko sarbidea berriro dibergitzen diren tokia. Kendu biltegiko baimena eta VPN eskubidea dagokien jabeen bidez, eta gero egiaztatu token pertsonalak, SSH gakoak, automatizazio kredentzialak eta saio aktiboak. Inplementazio-gakoa bizirik iraun ohi duen klasikoa da: konfiguratutako irakurketa edo idazketa sarbidea gorde dezake pertsonak erakundea utzi ondoren. Kide-zerrendatik kentzea ez da irteera osoa.

Inbentariatu makinako kredentzialak jabearen eta helburuaren arabera kontratua amaitu aurretik, ez ondoren. Astebeteko eraikuntza baterako sortutako token batek proiektua urtebetez gaindi dezake inork zergatik existitzen den idatzi ez badu.

Egiaztatu eragiketa, ukapena eta irteera

Entrega aurretik, probatu hiru gauza: baimendutako biltegiko eragiketak arrakasta du, erlaziorik gabeko biltegi bat ukatzen da, eta erretiratutako identitateak huts egiten du. Diseinua VPN soilik bada, egiaztatu antzinako bide publiko zuzenak ezin duela eragiketa egin.

Gorde kodea eta berrikuspen-erregistroak, baina ez utzi ahaztutako sarbidea berreskuratze-plana bihurtzen. Identitateen, rolen eta iraungitze-datan zerrenda idatzi bat da hurrengo kontratista-eskaera prozesu errepikakor bihurtzen duena.