Pag-access ng kontraktor sa repository: pampublikong pasukan o ruta ng VPN?

Kailangan ng kontraktor ng isang pribadong repository para sa limitadong proyekto, at dumarating ang kahilingan bilang «gawing pampubliko ang repo» o «bigyan sila ng access sa VPN». Nilalampasan ng dalawang sagot ang tunay na tanong. Magkaibang layer ang awtorisasyon ng repository at ang pasukan sa network, at ang mahalagang pahintulot ay ang nagpapahintulot sa taong iyon na bumasa o mag-push sa isang repository na iyon. Ang lahat ng iba pa sa alinmang pakete ay dagdag na panganib. Idisenyo muna ang layer ng awtorisasyon, pagkatapos ay magpasya kung gaano kaliit na ruta ng network ang kailangan nito.

Ginagawang kongkreto ito ng isang halimbawang trabaho: isang panlabas na developer, isang repository, walang production host, walang interface ng administrasyon. Panatilihing fixed ang saklaw na ito habang inihahambing ang mga pasukan.

Dalawang pasukan, dalawang magkaibang hangganan

Ang serbisyo ng repository na naaabot ng publiko ay nagpapatupad pa rin ng HTTPS o SSH na pagpapatotoo at awtorisasyon ng aplikasyon. Ang pagiging naaabot ng publiko ay hindi nangangahulugang anonymous na pagbasa. Ang halaga ay isang tagapakinig na kailangan mong alagaan, subaybayan at i-patch.

Ang pasukan ng VPN ay maaaring maglagay ng tagapakinig na iyon sa labas ng pampublikong ruta, ngunit ang malawak na account ng VPN ay maaaring maglantad ng walang kaugnayang serbisyo. Ang natirang pampublikong hostname, tagapakinig ng SSH o pamilya ng address na nakalimutan mo ay maaaring sumira sa hangganang VPN lamang na inaakala mong mayroon ka. Kaya ang disenyong VPN lamang ay nangangailangan ng imbentaryo ng mga tagapakinig, hindi lamang patakaran ng firewall.

Ihambing ang pinapayagang ruta, hindi ang mga label. Sa anumang kaso, panatilihin ang pagpapatotoo ng aplikasyon at ang normal na pagpapatunay ng pagkakakilanlan ng server.

Ang mga papel sa repository ang yunit ng pahintulot

Bigyan ang kontraktor ng indibidwal na pagkakakilanlan na may pinakamaliit na papel na tumatapos sa gawain. Ang pagtingin, pag-push, pagpapanatili at pangangasiwa ay magkaibang papel, at ang grupong nagbibigay ng bawat panloob na proyekto ay hindi katulad ng pag-access sa isang repository. Suriin ang tunay na mga pangalan ng papel sa iyong platform sa halip na ipagpalagay na ang pangalan ng grupo ay tumutugma sa isang papel.

Ilista ang bawat operasyong talagang kailangan ng trabaho. Ang pag-access sa browser at transportasyong Git ay maaaring gumamit ng magkaibang kredensyal o tagapakinig. Ang mga awtomatikong build, pag-download ng pakete at webhook ay maaaring tumakbo bilang hiwalay na pagkakakilanlan na may sariling ruta ng paghahatid, at ang VPN sa laptop ay hindi nag-uugnay sa mga iyon.

Ang pagprotekta sa nilalaman ng repository ay hiwalay na gawain. Ang pagpapalit ng ruta ng pasukan ay hindi nag-aalis ng sekretong nasa kasaysayan na, hindi naglilimita sa awtorisadong clone at hindi nagse-secure sa workstation ng kontribyutor.

Mga kredensyal na mas matagal pa sa tao

Sa pag-alis naghihiwalay muli ang pag-access sa repository at ang pag-access sa network. Alisin ang awtorisasyon ng repository at ang karapatan sa VPN sa pamamagitan ng kani-kanilang may-ari, pagkatapos suriin ang mga personal na token, SSH key, kredensyal ng automation at aktibong sesyon. Ang deploy key ay ang klasikong nakaligtas: maaari nitong panatilihin ang naka-configure na pag-access sa pagbasa o pagsulat pagkatapos umalis ng tao sa organisasyon. Ang pagtanggal mula sa listahan ng miyembro ay hindi kumpletong pag-alis.

Imbentaryuhin ang mga kredensyal ng makina ayon sa may-ari at layunin bago magtapos ang trabaho, hindi pagkatapos. Ang token na ginawa para sa isang linggong build ay maaaring mabuhay nang isang taon na mas mahaba kaysa sa proyekto kung walang nagsulat kung bakit ito umiiral.

I-verify ang operasyon, ang pagtanggi at ang pag-alis

Bago ang turnover, subukan ang tatlong bagay: nagtatagumpay ang pinapayagang operasyon sa repository, tinatanggihan ang walang kaugnayang repository, at nabibigo ang retiradong pagkakakilanlan. Kung ang disenyo ay VPN lamang, kumpirmahin na ang lumang direktang pampublikong ruta ay hindi na makakagawa ng operasyon.

Itago ang code at ang mga talaan ng pagsusuri, ngunit huwag hayaang maging plano ng pagbangon ang nakalimutang pag-access. Ang nakasulat na listahan ng mga pagkakakilanlan, papel at petsa ng pag-expire ang gumagawa sa susunod na kahilingan ng kontraktor na isang prosesong maaaring ulitin.