ठेकेदारको रिपोजिटरी पहुँच: सार्वजनिक प्रवेश कि VPN मार्ग?

सीमित परियोजनाका लागि ठेकेदारलाई एउटा निजी रिपोजिटरी चाहिन्छ, र अनुरोध «रिपो सार्वजनिक बनाउनुहोस्» वा «तिनीहरूलाई VPN पहुँच दिनुहोस्» भनेर आउँछ। दुवै जवाफले वास्तविक प्रश्न छल्छन्। रिपोजिटरी अधिकार र सञ्जाल प्रवेश छुट्टाछुट्टै तह हुन्, र महत्त्वपूर्ण अनुमति त्यो हो जसले त्यो व्यक्तिलाई त्यही एउटा रिपोजिटरीमा पढ्न वा push गर्न दिन्छ। कुनै पनि बन्डलमा बाँकी सबै थप जोखिम हो। पहिले अधिकार तह डिजाइन गर्नुहोस्, त्यसपछि यसलाई कति कम सञ्जाल मार्ग चाहिन्छ भनेर निर्णय गर्नुहोस्।

एउटा उदाहरणले यसलाई ठोस बनाउँछ: एउटा बाह्य विकासकर्ता, एउटा रिपोजिटरी, कुनै उत्पादन होस्ट छैन, कुनै प्रशासन इन्टरफेस छैन। प्रवेशहरू तुलना गर्दा यो दायरा स्थिर राख्नुहोस्।

दुई प्रवेश, दुई फरक सीमा

सार्वजनिक रूपमा पुग्न सकिने रिपोजिटरी सेवाले अझै HTTPS वा SSH प्रमाणीकरण र अनुप्रयोग अधिकार लागू गर्छ। सार्वजनिक पहुँचको अर्थ अनाम पढ्नयोग्यता होइन। मूल्य त्यो श्रोता हो जसलाई तपाईंले मर्मत, अनुगमन र प्याच गर्नुपर्छ।

VPN प्रवेशले त्यो श्रोतालाई सार्वजनिक मार्गबाट बाहिर राख्न सक्छ, तर फराकिलो VPN खाताले असम्बन्धित सेवाहरू खुलासा गर्न सक्छ। बाँकी रहेको सार्वजनिक होस्टनाम, SSH श्रोता वा बिर्सिएको ठेगाना परिवारले तपाईंले सोचेको मात्र-VPN सीमा तोड्न सक्छ। त्यसैले मात्र-VPN डिजाइनलाई फायरवाल नियम मात्र होइन, श्रोताहरूको सूची चाहिन्छ।

लेबल होइन, अनुमत मार्गहरू तुलना गर्नुहोस्। जुनसुकै अवस्थामा अनुप्रयोग प्रमाणीकरण र सामान्य सर्भर-परिचय प्रमाणीकरण कायम राख्नुहोस्।

रिपोजिटरी भूमिकाहरू नै अनुमतिको एकाइ हुन्

ठेकेदारलाई काम पूरा गर्ने सबैभन्दा सानो भूमिकासहित व्यक्तिगत परिचय दिनुहोस्। हेर्ने, push गर्ने, मर्मत गर्ने र प्रशासन गर्ने फरक भूमिकाहरू हुन्, र प्रत्येक आन्तरिक परियोजना दिने समूह एउटा रिपोजिटरीको पहुँचसँग बराबर होइन। समूहको नाम एउटा भूमिकासँग मिल्छ भनेर मान्नुको सट्टा आफ्नो प्लेटफर्ममा वास्तविक भूमिका नामहरू जाँच्नुहोस्।

कामलाई साँच्चै आवश्यक पर्ने हरेक कार्य सूचीबद्ध गर्नुहोस्। ब्राउजर पहुँच र Git ढुवानीले फरक प्रमाणपत्र वा श्रोताहरू प्रयोग गर्न सक्छन्। स्वचालित बिल्ड, प्याकेज डाउनलोड र webhook आफ्नै डेलिभरी मार्ग भएका छुट्टै परिचयका रूपमा चल्न सक्छन्, र ल्यापटपको VPN ले तिनीहरूलाई जोड्दैन।

रिपोजिटरीको सामग्री सुरक्षित गर्नु छुट्टै काम हो। प्रवेश मार्ग बदल्दा इतिहासमा पहिले नै भएको रहस्य हट्दैन, अधिकृत क्लोन सीमित हुँदैन, वा योगदानकर्ताको कार्यस्थान सुरक्षित हुँदैन।

व्यक्तिभन्दा लामो बाँच्ने प्रमाणपत्रहरू

बाहिरिने बिन्दु त्यही हो जहाँ रिपोजिटरी पहुँच र सञ्जाल पहुँच फेरि छुट्टिन्छन्। सम्बन्धित मालिकहरूमार्फत रिपोजिटरी अधिकार र VPN हक हटाउनुहोस्, त्यसपछि व्यक्तिगत टोकन, SSH कुञ्जी, स्वचालन प्रमाणपत्र र सक्रिय सत्रहरू जाँच्नुहोस्। डिप्लोय कुञ्जी परम्परागत बाँच्ने हो: व्यक्ति संस्था छोडेपछि पनि यसले आफ्नो कन्फिगर गरिएको पढ्ने वा लेख्ने पहुँच राख्न सक्छ। सदस्य सूचीबाट हटाउनु पूर्ण बाहिरिनु होइन।

काम सकिनुअघि, पछि होइन, मालिक र उद्देश्यअनुसार मेसिन प्रमाणपत्रको सूची बनाउनुहोस्। एक हप्ताको बिल्डका लागि बनाइएको टोकन, किन छ भनेर कसैले नलेखेको भए परियोजनाभन्दा एक वर्ष लामो बाँच्न सक्छ।

कार्य, अस्वीकृति र बाहिरिने कुरा प्रमाणित गर्नुहोस्

हस्तान्तरण अघि तीन कुरा परीक्षण गर्नुहोस्: अनुमत रिपोजिटरी कार्य सफल हुन्छ, असम्बन्धित रिपोजिटरी अस्वीकृत हुन्छ, र सेवानिवृत्त परिचय असफल हुन्छ। डिजाइन मात्र-VPN भए, पुरानो सिधा सार्वजनिक मार्गले अब कार्य गर्न नसक्ने पुष्टि गर्नुहोस्।

कोड र समीक्षा अभिलेख राख्नुहोस्, तर बिर्सिएको पहुँचलाई पुनर्प्राप्ति योजना बन्न नदिनुहोस्। परिचय, भूमिका र समाप्ति मितिको लिखित सूचीले नै अर्को ठेकेदार अनुरोधलाई दोहोर्याउन सकिने प्रक्रिया बनाउँछ।