Безопасная учетная запись суперпользователя в развертывании осьминога

Мне было поручено разработать службу, которая принимает запросы на доступ администратора к серверу Windows, получает одобрение от руководства, предоставляет доступ, а затем автоматически отменяет доступ через час.

Я должен выполнять все развертывания через Octopus Deploy.

Я не могу хранить пароль суперпользователя в сервисе, так как все разработчики имеют доступ для чтения к нашему SVN.

Я планировал сохранить пароль в безопасной переменной в Octopus Deploy, но потом понял, что любой, у кого есть права на изменение проекта, может добавить сценарий powershell для отправки себе значений переменных.

Есть ли способ защитить переменную в Octopus Deploy, которую можно использовать для установки службы Windows с правами суперпользователя, но которую нельзя получить каким-либо образом?


octopus-deploy
person Broom    schedule 12.04.2017    source источник
comment
Хотя это делает его более болезненным, возможно, вы могли бы настроить отдельный проект Octopus Deploy, который устанавливает только пароль суперпользователя в службе, а затем ограничить доступ к этому отдельному проекту Octopus Deploy только себе.   -  person Ross Presser    schedule 14.04.2017

Ответы (1)


arrow_upward
1
arrow_downward

Как я установил, эта настройка использует комбинацию ролей и сред для ограничения доступа к конфиденциальным переменным, таким как пароли prod.

Вам нужны две роли:

1) — это роль редактора проекта, которая позволяет разработчикам делать все, но только для сред Dev/UAT. Это позволяет им все подготовить и протестировать без доступа к рабочей среде.

2) роль производственного редактора, к которой имеют доступ лишь несколько человек. Переменные производственного пароля привязаны к среде Prod, поэтому разработчики не могут получить к ним доступ.

person Daniel    schedule 26.04.2017
comment
это правильный способ сделать это. Также примите во внимание, что при этом вам, скорее всего, потребуется предоставить разработчикам доступ к переменным с незаданной областью, что является отдельным разрешением и может повлиять на производство. Но ваше производство SECRET может быть ограничено только производством и, таким образом, ограничено. - person Adam Bezverkov; 02.05.2017