Aksesi i kontraktorit në depo: hyrje publike apo rrugë VPN?

Një kontraktor ka nevojë për një depo private për një projekt të kufizuar, dhe kërkesa vjen ose si «bëje depon publike» ose si «jepu atyre akses VPN». Të dyja përgjigjet anashkalojnë pyetjen e vërtetë. Autorizimi i depos dhe hyrja në rrjet janë shtresa të ndara, dhe leja që ka rëndësi është ajo që i lejon atij personi të lexojë ose të push-ojë në atë depo të vetme. Çdo gjë tjetër në çdo paketë është rrezik shtesë. Dizajnoni fillimisht shtresën e autorizimit, pastaj vendosni sa pak rrugë rrjeti i nevojitet.

Një angazhim ilustrues e bën këtë konkret: një zhvillues i jashtëm, një depo, asnjë host prodhimi, asnjë ndërfaqe administrimi. Mbajeni këtë fushë të fiksuar ndërsa krahasoni hyrjet.

Dy hyrje, dy kufij të ndryshëm

Një shërbim depoje i arritshëm publikisht ende zbaton autentikim HTTPS ose SSH dhe autorizim aplikacioni. Arritshmëria publike nuk do të thotë lexueshmëri anonime. Kostoja është një dëgjues që duhet ta mirëmbani, monitoroni dhe patch-oni.

Një hyrje VPN mund ta mbajë atë dëgjues jashtë rrugës publike, por një llogari VPN e gjerë mund të ekspozojë shërbime të palidhura. Një emër hosti publik i mbetur, një dëgjues SSH ose një familje adresash që e harruat mund të rrëzojnë kufirin vetëm-VPN që menduat se kishit. Pra, një dizajn vetëm-VPN ka nevojë për një inventar dëgjuesish, jo vetëm për një rregull fire-u.

Krahasoni rrugët e lejuara, jo etiketat. Në çdo rast, mbani autentikimin e aplikacionit dhe validimin normal të identitetit të serverit.

Rolet në depo janë njësia e lejes

Jepini kontraktorit një identitet individual me rolin më të vogël që përfundon detyrën. Shikimi, push, mirëmbajtja dhe administrimi janë role të ndryshme, dhe një grup që jep çdo projekt të brendshëm nuk është i njëjtë me aksesin në një depo. Kontrolloni emrat realë të roleve në platformën tuaj në vend që të supozoni se emri i një grupi hartohet në një rol të vetëm.

Rendisni çdo operacion që i nevojitet vërtet angazhimit. Aksesi nga shfletuesi dhe transporti Git mund të përdorin kredenciale ose dëgjues të ndryshëm. Ndërtimet e automatizuara, shkarkimet e paketave dhe webhook-et mund të ekzekutohen si identitete të veçanta me rrugët e tyre të dorëzimit, dhe një VPN në laptop nuk i lidh ato.

Mbrojtja e përmbajtjes së depos është punë e veçantë. Ndryshimi i rrugës së hyrjes nuk heq një sekret që ndodhet tashmë në histori, nuk kufizon një klon të autorizuar dhe nuk siguron stacionin e punës të një kontribuesi.

Kredenciale që jetojnë më gjatë se personi

Largimi është vendi ku aksesi në depo dhe aksesi në rrjet ndahen përsëri. Hiqni autorizimin e depos dhe të drejtën VPN përmes pronarëve përkatës, pastaj kontrolloni token-at personalë, çelësat SSH, kredencialet e automatizimit dhe sesionet aktive. Një çelës vendosjeje është i mbijetuari klasik: mund të mbajë aksesin e konfiguruar të leximit ose shkrimit pasi personi largohet nga organizata. Heqja nga një listë anëtarësie nuk është largim i plotë.

Inventarizoni kredencialet e makinerive sipas pronarit dhe qëllimit përpara se angazhimi të mbarojë, jo pas tij. Një token i krijuar për një ndërtim javor mund ta mbijetojë projektin me një vit nëse askush nuk shkroi pse ekziston.

Verifikoni operacionin, refuzimin dhe largimin

Përpara dorëzimit, provoni tri gjëra: operacioni i lejuar në depo ka sukses, një depo e palidhur refuzohet dhe identiteti i tërhequr dështon. Nëse dizajni është vetëm-VPN, konfirmoni që rruga e vjetër publike direkte nuk mund ta kryejë më operacionin.

Ruani kodin dhe regjistrat e rishikimit, por mos lejoni që aksesi i harruar të bëhet plani i rikuperimit. Një listë e shkruar e identiteteve, roleve dhe datave të skadimit është ajo që e bën kërkesën e radhës të kontraktorit një proces të përsëritshëm.