Yüklenicinin depoya erişimi: herkese açık giriş mi VPN yolu mu?

Bir yüklenicinin sınırlı bir proje için tek bir özel depoya ihtiyacı var ve talep ya «depoyu herkese açık yapın» ya da «onlara VPN erişimi verin» şeklinde geliyor. İki yanıt da gerçek soruyu atlıyor. Depo yetkilendirmesi ile ağ girişi ayrı katmanlardır ve önemli olan izin, o kişinin yalnızca o tek depoyu okumasına ya da push yapmasına izin veren izindir. Her iki paketteki geri kalan her şey ek risktir. Önce yetkilendirme katmanını tasarlayın, sonra ne kadar az ağ yoluna ihtiyaç duyduğuna karar verin.

Örnek bir iş bunu somutlaştırır: bir dış geliştirici, bir depo, üretim sunucusu yok, yönetim arayüzü yok. Girişleri karşılaştırırken bu kapsamı sabit tutun.

İki giriş, iki farklı sınır

Herkese açık erişilebilen bir depo hizmeti yine de HTTPS veya SSH kimlik doğrulaması ve uygulama yetkilendirmesi uygular. Herkese açık erişilebilirlik anonim okunabilirlik anlamına gelmez. Bedel, bakımını yapmanız, izlemeniz ve yamalamanız gereken bir dinleyicidir.

Bir VPN girişi o dinleyiciyi herkese açık yoldan uzak tutabilir, ancak geniş bir VPN hesabı ilgisiz hizmetleri açığa çıkarabilir. Geride kalan bir genel ana bilgisayar adı, bir SSH dinleyicisi ya da unuttuğunuz bir adres ailesi, sahip olduğunuzu sandığınız yalnızca VPN sınırını bozabilir. Bu yüzden yalnızca VPN tasarımı yalnızca güvenlik duvarı kuralına değil, dinleyici envanterine ihtiyaç duyar.

Etiketleri değil, izin verilen yolları karşılaştırın. Her durumda uygulama kimlik doğrulamasını ve normal sunucu kimliği doğrulamasını koruyun.

Depo rolleri iznin birimidir

Yükleniciye görevi tamamlayan en küçük rolle bireysel bir kimlik verin. Görüntüleme, push, bakım ve yönetim farklı rollerdir ve her iç projeyi veren bir grup tek bir depoya erişimle aynı şey değildir. Grup adının tek bir role karşılık geldiğini varsaymak yerine platformunuzdaki gerçek rol adlarını kontrol edin.

İşin gerçekten ihtiyaç duyduğu her işlemi listeleyin. Tarayıcı erişimi ve Git taşıması farklı kimlik bilgileri veya dinleyiciler kullanabilir. Otomatik derlemeler, paket indirmeleri ve webhook'lar kendi teslim yollarına sahip ayrı kimlikler olarak çalışabilir ve dizüstü bilgisayardaki bir VPN bunları birbirine bağlamaz.

Deponun içeriğini korumak ayrı bir iştir. Giriş yolunu değiştirmek geçmişte zaten bulunan bir sırrı kaldırmaz, yetkili bir kopyayı sınırlamaz ve bir katkıda bulunanın iş istasyonunu güvene almaz.

Kişiden daha uzun yaşayan kimlik bilgileri

Çıkış, depo erişimi ile ağ erişiminin yeniden ayrıldığı yerdir. Depo yetkilendirmesini ve VPN hakkını ilgili sahipleri aracılığıyla kaldırın, ardından kişisel belirteçleri, SSH anahtarlarını, otomasyon kimlik bilgilerini ve etkin oturumları kontrol edin. Dağıtım anahtarı klasik hayatta kalandır: kişi kuruluştan ayrıldıktan sonra bile yapılandırılmış okuma veya yazma erişimini koruyabilir. Üye listesinden çıkarmak tam bir çıkış değildir.

Makine kimlik bilgilerini sahibine ve amacına göre iş bitmeden envanterleyin, sonrasında değil. Bir haftalık derleme için oluşturulan belirteç, neden var olduğunu kimse yazmadıysa projeyi bir yıl aşabilir.

İşlemi, reddi ve çıkışı doğrulayın

Devretmeden önce üç şeyi test edin: izin verilen depo işlemi başarılı olur, ilgisiz depo reddedilir ve emekliye ayrılan kimlik başarısız olur. Tasarım yalnızca VPN ise, eski doğrudan genel yolun işlemi artık gerçekleştiremediğini doğrulayın.

Kodu ve inceleme kayıtlarını saklayın, ancak unutulan erişimin kurtarma planı olmasına izin vermeyin. Kimliklerin, rollerin ve son kullanma tarihlerinin yazılı bir listesi, bir sonraki yüklenici talebini tekrarlanabilir bir süreç yapan şeydir.