Darbuzņēmēja piekļuve repozitorijam: publiska ieeja vai VPN ceļš?

Darbuzņēmējam ierobežotam projektam nepieciešams viens privāts repozitorijs, un pieprasījums nāk kā «padariet repozitoriju publisku» vai «dodiet viņiem VPN piekļuvi». Abas atbildes izlaiž īsto jautājumu. Repozitorija autorizācija un tīkla ieeja ir atsevišķi slāņi, un svarīgā atļauja ir tā, kas ļauj šai personai lasīt vai push uz šo vienu repozitoriju. Viss pārējais jebkurā paketē ir papildu risks. Vispirms projektējiet autorizācijas slāni, pēc tam izlemiet, cik maz tīkla ceļa tam nepieciešams.

Ilustratīvs darbs to padara konkrētu: viens ārējs izstrādātājs, viens repozitorijs, nav produkcijas serveru, nav administrēšanas saskarnes. Saglabājiet šo tvērumu fiksētu, kamēr salīdzināt ieejas.

Divas ieejas, divas atšķirīgas robežas

Publiski sasniedzams repozitorija pakalpojums joprojām piemēro HTTPS vai SSH autentifikāciju un lietojumprogrammas autorizāciju. Publiska sasniedzamība nenozīmē anonīmu lasāmību. Cena ir klausītājs, kas jāuztur, jāuzrauga un jālabo.

VPN ieeja var turēt šo klausītāju ārpus publiskā ceļa, bet plašs VPN konts var atklāt nesaistītus pakalpojumus. Atlikušais publiskais resursdatora nosaukums, SSH klausītājs vai aizmirsta adrešu saime var sabojāt tikai-VPN robežu, kuru domājāt, ka jums ir. Tāpēc tikai-VPN dizainam nepieciešams klausītāju uzskaitījums, ne tikai ugunsmūra noteikums.

Salīdziniet atļautos ceļus, nevis etiķetes. Jebkurā gadījumā saglabājiet lietojumprogrammas autentifikāciju un parasto servera identitātes pārbaudi.

Repozitorija lomas ir atļaujas vienība

Dodiet darbuzņēmējam individuālu identitāti ar mazāko lomu, kas pabeidz uzdevumu. Skatīšanās, push, uzturēšana un administrēšana ir dažādas lomas, un grupa, kas piešķir katru iekšējo projektu, nav tas pats, kas piekļuve vienam repozitorijam. Pārbaudiet faktiskos lomu nosaukumus savā platformā, nevis pieņemiet, ka grupas nosaukums atbilst vienai lomai.

Uzskaitiet katru darbību, kas darbam patiešām nepieciešama. Pārlūka piekļuve un Git transportēšana var izmantot dažādus akreditācijas datus vai klausītājus. Automatizētas būves, pakotņu lejupielādes un webhook var darboties kā atsevišķas identitātes ar saviem piegādes ceļiem, un klēpjdatora VPN tās nesavieno.

Repozitorija satura aizsardzība ir atsevišķs darbs. Ieejas ceļa maiņa nenoņem noslēpumu, kas jau ir vēsturē, neierobežo autorizētu klonu un nenodrošina līdzstrādnieka darbstaciju.

Akreditācijas dati, kas dzīvo ilgāk par cilvēku

Aiziešana ir vieta, kur repozitorija piekļuve un tīkla piekļuve atkal atšķiras. Noņemiet repozitorija autorizāciju un VPN tiesības caur to attiecīgajiem īpašniekiem, pēc tam pārbaudiet personīgos tokenus, SSH atslēgas, automatizācijas akreditācijas datus un aktīvās sesijas. Izvietošanas atslēga ir klasiskais izdzīvotājs: tā var saglabāt konfigurēto lasīšanas vai rakstīšanas piekļuvi pēc tam, kad persona pamet organizāciju. Noņemšana no dalībnieku saraksta nav pilnīga aiziešana.

Uzskaitiet mašīnu akreditācijas datus pēc īpašnieka un mērķa pirms darba beigām, nevis pēc tam. Tokens, kas izveidots nedēļas būvei, var pārdzīvot projektu par gadu, ja neviens nav pierakstījis, kāpēc tas pastāv.

Pārbaudiet darbību, atteikumu un aiziešanu

Pirms nodošanas pārbaudiet trīs lietas: atļautā repozitorija darbība izdodas, nesaistīts repozitorijs tiek atteikts un atsauktā identitāte neizdodas. Ja dizains ir tikai-VPN, apstipriniet, ka vecais tiešais publiskais ceļš vairs nevar veikt darbību.

Saglabājiet kodu un pārskatīšanas ierakstus, bet neļaujiet aizmirstai piekļuvei kļūt par atjaunošanas plānu. Rakstisks identitāšu, lomu un derīguma termiņu saraksts ir tas, kas nākamo darbuzņēmēja pieprasījumu padara par atkārtojamu procesu.