OpenVPN-ის პროფილი Git-ში — რა უნდა წაიშალოს commit-ამდე

პროფილები ერთდროულად ორ დანიშნულებას ემსახურება: ისინი ინახავენ კავშირის პარამეტრებს და ატარებენ სამუშაო სერტიფიკატების კრებულს. ფაილის გაფართოება არაფერს გეუბნებათ იმაზე, რომელი მათგანი გიჭირავთ ხელში. წაიკითხეთ შიგთავსი, სანამ გადაწყვეტთ, რომ ის საცავს ეკუთვნის.

ქვემოთ მოცემული ნაბიჯები ვარაუდობს, რომ კლიენტის შაბლონი განიხილება ვერსიების კონტროლისთვის. შეასრულეთ ისინი რიგით და გაჩერდით სანამ დააკომიტებთ რამეს, რასაც ვერ გააუქმებთ.

წაიკითხეთ ფაილი, რომლის ინდექსში დამატებასაც აპირებთ

დაიწყეთ რეალური ბაიტებიდან, რადგან ცალკე ფაილებზე მიმთითებელი პროფილი სრულიად სხვაგვარად გამოიყურება, ვიდრე მათი ჩამშენებელი. მოძებნეთ PEM ბლოკის ნიშნები და ca, cert, key, tls-auth და tls-crypt სახელების ჩაშენებული ტეგები, და იგივე გადამოწმება ორივე შემთხვევას გაჩვენებთ. დაშიფრული პირადი გასაღები კვლავ მგრძნობიარე მასალად ითვლება, და გაზიარებული tls-auth ან tls-crypt გასაღები სერტიფიკატია, მაშინაც კი, თუ ის მომხმარებლის იდენტობა არ არის. გამოიყენეთ იგივე შემოწმება ყველაფერზე, რაც პროფილთან ერთად ინდექსდება, მათ შორის არქივებსა და ინსტალაციის სკრიპტებზე, რომლებიც სერტიფიკატების ფაილზე მიუთითებენ.

შემდეგ შეხედეთ ინდექსირებულ კრებულს და არა სამუშაო ხეს. git diff --cached გიჩვენებთ, თუ რას შეიცავს კომიტი სინამდვილეში, და ეს არის ერთადერთი ვერსია, რომელსაც ამ გადაწყვეტილებისთვის მნიშვნელობა აქვს.

გადაწყვიტეთ რისი გავრცელება შეიძლება საცავს

შაბლონს შეუძლია ატაროს საერთო, გადამოწმებული პარამეტრები და სახელდებული ჩანაცვლებები ყველაფრისთვის, რასაც ადამიანი რეგისტრაციის დროს იღებს. რასაც ვერ ატარებს, არის გამოსაყენებელი იდენტობა, რადგან საცავი ნაწილდება ყველაზე, ვისაც წაკითხვა შეუძლია, ავტომატიზაციის ჩათვლით. კერძო საცავი ავიწროებს აუდიტორიას, მაგრამ არ ცვლის კითხვას, არის თუ არა ყოველი მკითხველი ამ სერტიფიკატისთვის უფლებამოსილი.

უგულებელყოფის წესი ხელს უშლის მომავალ დამატებებს და არაფერს აკეთებს უკვე ჩაწერილზე. ეს ასიმეტრია ღირს შეთვისებად პირველ კომიტამდე და არა მეათის შემდეგ. ინფრასტრუქტურის სახელები და მისამართები ცალკე განსჯაა: ისინი არ არიან ავთენტიფიკაციის საიდუმლოებები, მაგრამ შეიძლება გაამჟღავნონ მეტი, ვიდრე გუნდი აპირებს გამოქვეყნებას. მიიღეთ ეს გადაწყვეტილება ცხადად, ყოველი ხაზის პაროლად ან საჯაროდ დაყოფის ნაცვლად.

თუ მასალა უკვე ისტორიაშია

ახალ კომიტში ხაზის წაშლა ძველ ვერსიას ხელუხლებლად ტოვებს ყველასთვის, ვინც მას ჩამოტვირთავს. მოექეცით გამოჟღენას როგორც რეალურს: დაადგინეთ სერტიფიკატის ტიპი, შემდეგ იპოვეთ ორგანო, რომელსაც მისი გაუქმება შეუძლია. კლიენტის სერტიფიკატი გაუქმდება და გაუქმების სია ხელახლა გენერირდება; საერთო საკონტროლო არხის გასაღები იცვლება სერვერზე და ყოველ კლიენტზე, რომელიც მას იყენებს.

ორივეს ზემოქმედების რადიუსი ძალიან განსხვავებულია, და გეგმამ დაწყებამდე უნდა თქვას, რომელს ასრულებთ. იპოვეთ კომიტი, რომელმაც მასალა შემოიტანა git log --all -S 'BEGIN PRIVATE KEY' ტიპის ძებნით, რომ გაწმენდის მოცულობა ცნობილი იყოს და არა გამოცნობილი. კოლეგის კლონი ან ფორკი შეიძლება უკვე ფლობდეს ძველ ობიექტს, ამიტომ გაუქმება პირველია, გაწმენდა კი მეორე.

გაასუფთავეთ მხოლოდ შეზღუდვის შემდეგ

ისტორიის გადაწერა ცვლის ყოველ კომიტს თქვენ მიერ რედაქტირებულის შემდეგ, ამიტომ ჯერ საცავის მფლობელისა და მასში მომუშავე ადამიანების თანხმობაა საჭირო. იძულებითი push არ არის შეკეთება; ეს არის კოორდინაციის მოვლენა თავისი უკუბრუნების რისკით. დაგეგმეთ ის, გააკეთეთ სარეზერვო ასლი და უთხარით გუნდს, როდის მოხდება.

ამის შემდეგ, გადაამოწმეთ მიმდინარე ხე და დარჩენილი ისტორია, ნაცვლად იმისა, რომ ხელსაწყოს შეჯამებას დაეყრდნოთ.

შეინახეთ შედეგი ორ არტეფაქტად: გასაზიარებლად უსაფრთხო შაბლონი და რეგისტრაციის პროცესში გაცემული სერტიფიკატების ნუსხა. არც ერთი მათგანი არ მოითხოვს, რომ საცავში გამოსაყენებელი იდენტობა ცხოვრობდეს.

ეს გაყოფა არის ნამდვილი გამოსწორება, და ის გადაურჩება შემდეგ ადამიანს, რომელსაც პროფილის დაკომიტება მოუნდება.