Staging er ikkje produksjon: gje det si eiga tilgangsgrense

Staging ser ut som eit testsystem til du legg merke til den kopierte produksjonsdatabasen, den levande e-postlegitimasjonen og betalingsnøkkelen i miljøet. På det punktet sluttar etiketten på fana å bety noko, og det eigentlege spørsmålet er kva denne utrullinga kan nå og kven som kan nå henne. Ein VPN i fordøra svarar ikkje på det spørsmålet, fordi han avgrensar éin veg inn i systemet og seier ingenting om kva systemet kan gjere på veg ut. Start med publikum og arbeid utover.

Start med publikum, ikkje URL-en

Tre publikum gjev tre ulike design. Eit privat ingeniørmiljø treng identitet og ei rute; ein kundeaksepttest treng kontoar som representerer kundar; ein offentleg demonstrasjon treng medviten eksponering med eigne kontrollar. Å skrive ned publikumet først hindrar den vanlege drifta der ein førehandsvising-URL stille blir permanent. Alt anna i gjennomgangen heng på det svaret.

Viss ingen kan namngje publikumet, handsam det som det første funnet og ikkje som eit dokumentasjonshol.

Gå gjennom fordøra og flatene bak henne

Løys opp namna før du stolar på URL-en du fekk, og be deretter om dei administrative stigane direkte.

dig +short staging.example.com
curl -sS -o /dev/null -w "%{http_code}\n" https://staging.example.com/
curl -sS -o /dev/null -w "%{http_code}\n" https://staging.example.com/admin

Ekstra postar avdekkjer ofte ein direkte opphavsadresse som omgår CDN-en eller VPN-inngangen, noko som gjer den tiltenkte kontrollen valfri. Ei omdirigering fortel deg kvar applikasjonen trur han bur, og eit uventa skjema eller vertsnamn fortener oppfølging. Å sondere ein sannsynleg admin-sti bør gje ei avvising, ikkje ei side. Ein 200 på ein uautentisert administrativ stig er funnet heile gjennomgangen leitte etter.

Sjekk kva miljøet kan gjere, ikkje berre kva det viser

Ei side som krev innlogging blir likevel levert med backend-autoritet. Spør kva identitet arbeidslasta køyrer som, og les deretter retningslinjene som er knytte til henne.

aws sts get-caller-identity

Det kallet rapporterer kontoen og principalen som miljøet faktisk brukar, og det er utgangspunktet for kvart påfølgjande løyvespørsmål. Derfrå kan du sjekke om identiteten kan sende e-post, flytte pengar, lese produksjonsløyndomar eller skrive produksjonsdata. Byt ut delte produksjonsopplysningar med avgrensa staging-identitetar, og føretrekk sandkassar frå leverandøren der dei finst. Ein testkonto som kan belaste eit ekte kort, er eit produksjonssystem med eit anna vertsnamn.

Hald grensa etter at gjennomgangen er over

Eit miljø blir ikkje trygga av éin revisjon; det blir trygga av eigarskap som overlever personalendringar. Tildel kven som fjernar tilgang, nullstiller testdata og tek utrullinga ut av drift, og gje førehandsvisinga ein utløpsdato som nokon må fornye. Isolasjon hjelper berre så lenge det isolerte blir vedlikehalde. Sjekk dei same stigane igjen etter neste utgiving, fordi eit funksjonsflagg eller ein ny integrasjon er nettopp korleis ein avvist sti blir ein open.

Godta designet med éin tillaten arbeidsflyt og éin avvist. Viss begge oppfører seg som dokumentert, finst grensa; viss berre den lukkelege vegen blei testa, er ho eit håp.