Пристап на изведувач до складиштето: јавен влез или VPN патека?

На изведувач му треба едно приватно складиште за ограничен проект, а барањето доаѓа како «направете го складиштето јавно» или «дајте им VPN пристап». Двата одговора го прескокнуваат вистинското прашање. Авторизацијата на складиштето и мрежниот влез се одделни слоеви, а дозволата што е важна е онаа што му овозможува на тоа лице да чита или да прави push кон тоа едно складиште. Сè друго во кој било пакет е дополнителен ризик. Прво дизајнирајте го слојот за авторизација, потоа одлучете колку малку мрежна патека му треба.

Илустративен ангажман го прави ова конкретно: еден надворешен развивач, едно складиште, без продукциски домаќини, без административен интерфејс. Држете го овој опсег фиксен додека ги споредувате влезовите.

Два влеза, две различни граници

Јавно достапна услуга за складиште сè уште применува HTTPS или SSH автентикација и авторизација на апликацијата. Јавната достапност не значи анонимна читливост. Цената е слушател што треба да го одржувате, надгледувате и закрпувате.

VPN влезот може да го држи тој слушател надвор од јавната патека, но широка VPN сметка може да изложи неповрзани услуги. Заостанато јавно име на домаќин, SSH слушател или фамилија адреси што сте ја заборавиле можат да ја урнат границата само VPN што мислевте дека ја имате. Затоа дизајнот само VPN бара инвентар на слушатели, не само правило за огнен ѕид.

Споредувајте дозволени патеки, не етикети. Во секој случај, задржете ја автентикацијата на апликацијата и нормалната проверка на идентитетот на серверот.

Улогите во складиштето се единица на дозволата

Дајте му на изведувачот индивидуален идентитет со најмалата улога што ја завршува задачата. Гледање, push, одржување и администрација се различни улоги, а група што дава секој внатрешен проект не е исто како пристап до едно складиште. Проверете ги вистинските имиња на улогите на вашата платформа наместо да претпоставувате дека името на група одговара на една улога.

Наведете ја секоја операција што на ангажманот навистина му треба. Пристапот преку прелистувач и Git транспортот можат да користат различни акредитиви или слушатели. Автоматизираните градби, преземањата на пакети и webhook можат да работат како одделни идентитети со свои патеки за достава, а VPN на преносниот сметач не ги поврзува.

Заштитата на содржината на складиштето е одделна работа. Менувањето на влезната патека не отстранува тајна што веќе е во историјата, не ограничува авторизиран клон и не го обезбедува работната станица на соработник.

Акредитиви што го надживуваат човекот

Заминувањето е местото каде пристапот до складиштето и мрежниот пристап повторно се разидуваат. Отстранете ја авторизацијата на складиштето и правото за VPN преку нивните соодветни сопственици, потоа проверете лични токени, SSH клучеви, акредитиви за автоматизација и активни сесии. Клучот за распоредување е класичниот преживеан: може да го задржи конфигурираниот пристап за читање или пишување откако лицето ќе ја напушти организацијата. Отстранувањето од списокот на членови не е целосно заминување.

Пописете ги машинските акредитиви по сопственик и цел пред ангажманот да заврши, не потоа. Токен создаден за еднонеделна градба може да го надживее проектот за една година ако никој не запишал зошто постои.

Проверете ја операцијата, одбивањето и заминувањето

Пред предавањето, тестирајте три работи: дозволената операција врз складиштето успева, неповрзано складиште се одбива и повлечениот идентитет не поминува. Ако дизајнот е само VPN, потврдете дека старата директна јавна патека веќе не може да ја изврши операцијата.

Чувајте го кодот и записите од прегледот, но не дозволувајте заборавениот пристап да стане план за обновување. Писмениот список на идентитети, улоги и датуми на истекување е она што го прави следното барање на изведувач повторлив процес.