კონტრაქტორის წვდომა რეპოზიტორიაზე: საჯარო შესასვლელი თუ VPN გზა?

კონტრაქტორს შეზღუდული პროექტისთვის ერთი კერძო რეპოზიტორია სჭირდება და მოთხოვნა მოდის როგორც «რეპოზიტორია საჯარო გახადეთ» ან «მიეცით მათ VPN წვდომა». ორივე პასუხი გვერდს უვლის ნამდვილ კითხვას. რეპოზიტორიის ავტორიზაცია და ქსელური შესასვლელი ცალკე ფენებია და მნიშვნელოვანი ნებართვა არის ის, რაც ამ ადამიანს ამ ერთ რეპოზიტორიაში კითხვის ან push-ის საშუალებას აძლევს. დანარჩენი ყველაფერი ნებისმიერ პაკეტში დამატებითი რისკია. ჯერ ავტორიზაციის ფენა დააპროექტეთ, შემდეგ გადაწყვიტეთ, რამდენად მცირე ქსელური გზა სჭირდება.

საილუსტრაციო სამუშაო ამას კონკრეტულს ხდის: ერთი გარე დეველოპერი, ერთი რეპოზიტორია, საწარმოო ჰოსტები არ არის, ადმინისტრირების ინტერფეისი არ არის. შეინარჩუნეთ ეს ფარგლები უცვლელად, სანამ შესასვლელებს ადარებთ.

ორი შესასვლელი, ორი განსხვავებული საზღვარი

საჯაროდ მისაწვდომი რეპოზიტორიის სერვისი მაინც ახორციელებს HTTPS ან SSH ავთენტიფიკაციას და აპლიკაციის ავტორიზაციას. საჯარო ხელმისაწვდომობა არ ნიშნავს ანონიმურ წაკითხვადობას. ფასი არის მსმენელი, რომელიც უნდა შეინარჩუნოთ, მონიტორინგი გაუწიოთ და განაახლოთ.

VPN შესასვლელს შეუძლია ეს მსმენელი საჯარო გზის გარეთ დატოვოს, მაგრამ ფართო VPN ანგარიშმა შეიძლება დაუკავშირებელი სერვისები გამოაშკარავოს. დარჩენილი საჯარო ჰოსტის სახელი, SSH მსმენელი ან დავიწყებული მისამართების ოჯახი შეიძლება დაარღვიოს მხოლოდ-VPN საზღვარი, რომელიც გეგონათ, რომ გქონდათ. ამიტომ მხოლოდ-VPN დიზაინს სჭირდება მსმენელთა ინვენტარი და არა მხოლოდ ქსელური ფარის წესი.

შეადარეთ დაშვებული გზები და არა ეტიკეტები. ნებისმიერ შემთხვევაში შეინარჩუნეთ აპლიკაციის ავთენტიფიკაცია და სერვერის იდენტობის ჩვეულებრივი შემოწმება.

რეპოზიტორიის როლები ნებართვის ერთეულია

მიეცით კონტრაქტორს ინდივიდუალური იდენტობა ყველაზე მცირე როლით, რომელიც დავალებას ასრულებს. ნახვა, push, მოვლა და ადმინისტრირება სხვადასხვა როლია და ჯგუფი, რომელიც ყველა შიდა პროექტს აძლევს, არ არის იგივე, რაც ერთ რეპოზიტორიაზე წვდომა. შეამოწმეთ როლების რეალური სახელები თქვენს პლატფორმაზე, ნაცვლად იმისა, რომ ჩათვალოთ ჯგუფის სახელი ერთ როლს შეესაბამება.

ჩამოთვალეთ ყოველი ოპერაცია, რომელიც სამუშაოს ნამდვილად სჭირდება. ბრაუზერის წვდომა და Git ტრანსპორტი შეიძლება სხვადასხვა სერტიფიკატს ან მსმენელს იყენებდეს. ავტომატიზებული აწყობები, პაკეტების ჩამოტვირთვები და webhook-ები შეიძლება ცალკე იდენტობებად იმუშაონ საკუთარი მიწოდების გზებით და ლეპტოპის VPN მათ არ აკავშირებს.

რეპოზიტორიის შიგთავსის დაცვა ცალკე სამუშაოა. შესასვლელი გზის შეცვლა არ აშორებს ისტორიაში უკვე არსებულ საიდუმლოს, არ ზღუდავს ავტორიზებულ კლონს და არ იცავს კონტრიბუტორის სამუშაო სადგურს.

სერტიფიკატები, რომლებიც ადამიანზე დიდხანს ცოცხლობენ

სამსახურიდან გასვლა არის ადგილი, სადაც რეპოზიტორიის წვდომა და ქსელური წვდომა კვლავ იყოფა. წაშალეთ რეპოზიტორიის ავტორიზაცია და VPN უფლება შესაბამისი მფლობელების მეშვეობით, შემდეგ შეამოწმეთ პირადი ტოკენები, SSH გასაღებები, ავტომატიზაციის სერტიფიკატები და აქტიური სესიები. განლაგების გასაღები კლასიკური გადარჩენილია: მას შეუძლია შეინარჩუნოს კონფიგურირებული წაკითხვის ან ჩაწერის წვდომა მას შემდეგ, რაც ადამიანი ორგანიზაციას დატოვებს. წევრთა სიიდან წაშლა სრული გასვლა არ არის.

მანქანური სერტიფიკატები მფლობელისა და დანიშნულების მიხედვით აღრიცხეთ სამუშაოს დასრულებამდე და არა შემდეგ. ერთკვირიანი აწყობისთვის შექმნილი ტოკენი შეიძლება პროექტს ერთი წლით გადააჭარბოს, თუ არავინ დაწერა, რატომ არსებობს.

შეამოწმეთ ოპერაცია, უარი და გასვლა

გადაცემამდე სამი რამ გამოსცადეთ: დაშვებული რეპოზიტორიის ოპერაცია წარმატებულია, დაუკავშირებელ რეპოზიტორიაზე უარი ეთქვა და გაუქმებული იდენტობა ვერ გადის. თუ დიზაინი მხოლოდ-VPN-ია, დაადასტურეთ, რომ ძველი პირდაპირი საჯარო გზა ვეღარ ასრულებს ოპერაციას.

შეინახეთ კოდი და მიმოხილვის ჩანაწერები, მაგრამ ნუ დაუშვებთ, რომ დავიწყებული წვდომა აღდგენის გეგმა გახდეს. იდენტობების, როლებისა და ვადების წერილობითი სიაა ის, რაც შემდეგ კონტრაქტორის მოთხოვნას განმეორებად პროცესად აქცევს.