Aċċess tal-kuntrattur għar-repożitorju: daħla pubblika jew triq VPN?

Kuntrattur jeħtieġ repożitorju privat wieħed għal proġett limitat, u t-talba tasal bħala «agħmel ir-repo pubbliku» jew «agħtihom aċċess VPN». Iż-żewġ tweġibiet jaqbżu l-mistoqsija vera. L-awtorizzazzjoni tar-repożitorju u d-daħla tan-netwerk huma saffi separati, u l-permess li jgħodd huwa dak li jħalli lil dik il-persuna taqra jew tagħmel push f’dak ir-repożitorju wieħed. Kull ħaġa oħra f’kull pakkett hija riskju żejjed. Iddisinja l-ewwel is-saff tal-awtorizzazzjoni, imbagħad iddeċiedi kemm ftit triq tan-netwerk teħtieġ.

Inkarigu illustrattiv jagħmel dan konkret: żviluppatur estern wieħed, repożitorju wieħed, ebda hosts tal-produzzjoni, ebda interface amministrattiva. Żomm dan l-ambitu fiss waqt li tqabbel id-daħliet.

Żewġ daħliet, żewġ fruntieri differenti

Servizz ta’ repożitorju li jista’ jintlaħaq pubblikament xorta japplika awtentikazzjoni HTTPS jew SSH u awtorizzazzjoni tal-applikazzjoni. L-aċċessibbiltà pubblika mhijiex qari anonimu. L-ispiża hija semmiegħa li trid iżżomm, tissorvelja u tapplika patches.

Daħla VPN tista’ żżomm lil dak is-semmiegħa barra mit-triq pubblika, iżda kont VPN wiesa’ jista’ jesponi servizzi mhux relatati. Isem ta’ host pubbliku li jibqa’, semmiegħa SSH jew familja ta’ indirizzi li nsejt jistgħu jwaqqgħu l-fruntiera ta’ VPN biss li ħsibt li kellek. Għalhekk disinn ta’ VPN biss jeħtieġ inventarju ta’ semmiegħa, mhux biss regola tal-firewall.

Qabbel triqat permessi, mhux tikketti. Fi kwalunkwe każ, żomm l-awtentikazzjoni tal-applikazzjoni u l-validazzjoni normali tal-identità tas-server.

Ir-rwoli tar-repożitorju huma l-unità tal-permess

Agħti lill-kuntrattur identità individwali bl-iżgħar rwol li jtemm il-kompitu. Il-wiri, il-push, il-manutenzjoni u l-amministrazzjoni huma rwoli differenti, u grupp li jagħti kull proġett intern mhuwiex l-istess bħal aċċess għal repożitorju wieħed. Iċċekkja l-ismijiet reali tar-rwoli fil-pjattaforma tiegħek minflok ma tassumi li isem ta’ grupp jimmappa għal rwol wieħed.

Elenka kull operazzjoni li l-inkarigu verament jeħtieġ. L-aċċess mill-browser u t-trasport Git jistgħu jużaw kredenzjali jew semmiegħa differenti. Il-binjiet awtomatizzati, it-tniżżil tal-pakketti u l-webhooks jistgħu jaħdmu bħala identitajiet separati bi triqat ta’ twassil tagħhom, u VPN fuq il-laptop ma jgħaqqadhomx.

Il-protezzjoni tal-kontenut tar-repożitorju hija xogħol separat. Il-bdil tat-triq tad-daħla ma jneħħix sigriet li diġà jinsab fl-istorja, ma jirrestrinġix klonu awtorizzat u ma jassigurax il-workstation ta’ kontributur.

Kredenzjali li jgħixu aktar mill-persuna

It-tluq huwa l-post fejn l-aċċess għar-repożitorju u l-aċċess għan-netwerk jerġgħu jiddivergu. Neħħi l-awtorizzazzjoni tar-repożitorju u d-dritt VPN permezz tas-sidien rispettivi tagħhom, imbagħad iċċekkja tokens personali, ċwievet SSH, kredenzjali tal-awtomazzjoni u sessjonijiet attivi. Ċavetta tad-deploy hija l-klassiku li jibqa’: tista’ żżomm l-aċċess tagħha għall-qari jew kitba konfigurat wara li l-persuna titlaq mill-organizzazzjoni. It-tneħħija minn lista tal-membri mhijiex tluq komplut.

Inventarja l-kredenzjali tal-magni skont is-sid u l-iskop qabel ma jintemm l-inkarigu, mhux wara. Token maħluq għal build ta’ ġimgħa jista’ jgħix sena aktar mill-proġett jekk ħadd ma kiteb għaliex jeżisti.

Ivverifika l-operazzjoni, ir-rifjut u t-tluq

Qabel il-konsenja, ipprova tliet affarijiet: l-operazzjoni permessa tar-repożitorju tirnexxi, repożitorju mhux relatat jiġi miċħud, u l-identità rtirata tfalli. Jekk id-disinn huwa VPN biss, ikkonferma li t-triq pubblika diretta l-antika ma tistax għadha tagħmel l-operazzjoni.

Żomm il-kodiċi u r-rekords tar-reviżjoni, iżda tħallix aċċess minsija jsir il-pjan ta’ rkupru. Lista miktuba ta’ identitajiet, rwoli u dati ta’ skadenza hija dik li tagħmel it-talba li jmiss tal-kuntrattur proċess ripetibbli.