Hatta Kimlik Bilgileri ve İzin Sınırları

Neden önemli

Hat her işte tam yetkili tek bulut anahtarı kullanır; olayda hata ayıklama loguna basılır, anahtar log deposunda bir yıl yaşar. Veya çataldan çekme isteği yazma jetonlarıyla koşar, test betiğiyle gizlileri dışarı taşır. Hat derleme sisteminin en değerli hedefidir, çünkü güveni toplar; izinleri üretim erişimi ciddiyetinde tasarım ister, M08 en-az-ayrıcalık dersi erken uygulanmış.

Kavramlar

Jetonları hat başına değil iş başına kapa. Dağıtım işi üretime yazma ister; lint işi depoda okuma ve başka hiçbir şey istemez. Platformlar bunu iş düzeyi izinler sunar; varsayılan genelde tek işin ihtiyacından geniştir, daraltma açık iştir. İzin bloğunu güvenlik duvarı kuralı şüphesiyle incele: verilen her kapsam kötü veya yanlış adımın yürüyebileceği yoldur.

Depolanan gizli yerine kısa ömürlü kimliği tercih et. İş yükü kimliği (buluta OIDC federasyonu, koşu başına basılan geçici kayıt jetonları) sızan statik kimlik olayı sınıfını kaldırır: dönecek anahtar yoktur, çünkü duran anahtar yoktur. Kalan depolanan gizliler platform gizli deposunda yaşar, adla çağrılır, logda maskelenir, çizelgeyle döndürülür; depoda asla, M04 4. dersin gösterdiği gibi oradan silinemez, ancak sızıntı sonrası döndürülür.

Log ve önbellekler gizli bataklığıdır. Maskeleme kuralları bilinen kalıpları yakalar, yeniyi kaçırır; güçlü disiplin kimliği hiç basmamaktır (hata ayıklama logu koşu başına açılır, varsayılan asla) ve gizli malzemeyi önbellek anahtarı ve önbellek yolları dışında tutmaktır. Jeton içeren önbellek anahtarı jetonu tahminlenebilir adla önbellek ardında saklar; başka dalın dosyasını getiren yanlış anahtar gizlisiz aynı deliktir, L18 ikisini somut yapar.

Çatal ve bağımlılık sınırları tabloyu tamamlar. Güvenilmez kodun tetiklediği işler salt-okunur jetonla, gizlisiz koşar; ayrıcalıklı adımlar incelemeden sonra yalnızca güvenilir olaylarda koşar. Üçüncü parti eylem ve hat eklentileri her bağımlılık gibi özete sabitlenir; çünkü yüzen eylem başvurusu başkasının hattına dağıtım anahtarıdır.

Uygulamalı örnek

Önbellek derlemeyi hızlandırır ama yanlış dalın bağımlılıklarını getirir; sürüm geçen haftanın kütüphanesiyle çıkar. Anahtar dal önekiyle doğru bölümlenmiş görünür ama yanında ikinci arıza saklanır: dağıtım işi durum güncellemesi için hat geneli üretim yazma jetonunu yeniden kullanır. Onarım anahtarı tutar (doğrudur), dağıtım işi jetonunu durum API'sine daraltır, gerçek yayına ayrı kısa ömürlü kimlik basar. Her işin verilen kapsamını adımlarının asgarisiyle listeleyerek doğrula; yanlış daldan geri yüklemenin sessiz karışmak yerine kapalı düştüğünü göster. L18 labı iki yarıyı ister: daraltılmış geniş jeton, dürüst önbellek anahtarı.

Yaygın yanlış hamle

Hat ayarlarında tek yönetici jetonu, tüm işlerde ortak, dönüşü hiç; çünkü kapsama bürokrasi gibi gelir. Her adımı, üçüncü parti eylem ve çatal derlemeleri dahil, üretim yöneticisine çevirir. İhlal raporu aslında incelenmemiş izin bloğu olan gizem gibi okunur. Kapsam tasarım yapıtıdır: yaz, incele, reddi test et.

Lab ve sonraki adım

L18 labı aşırı ayrıcalıklı hattı daraltır, sahtekâr önbellek anahtarını onarır; ret ve geri yükleme kanıtı ister. Buradan yol M07'ye sürer: hattın taşıdığını işletmek; loglar, göstergeler, yedekler ve koşu kitapları.