Dostęp do środowiska to klucz, a nie pole wyboru
Crunu szyfruje klucz każdego środowiska tylko dla ludzi i maszyn, które mają je odczytać. Programista z dostępem do development nie odczyta production, bo klucza do production nigdy dla niego nie zaszyfrowano.
- Cztery role w każdym środowisku
- Profile dostępu dla całych grup
- Prośby zatwierdza właściciel lub administrator
Dwie warstwy ról
Role w organizacji decydują, kto nią zarządza. Role w środowisku decydują, co ktoś dostaje w jednym środowisku, i stoją za nimi klucze.
- OwnerWszystko, co może administrator, a do tego mianowanie administratorów i właścicieli oraz zmiana ustawień organizacji. Ostatniego właściciela nie da się usunąć.
- AdminZarządza członkami, maszynami, tokenami i dziennikiem audytu, a do każdego wspólnego środowiska ma dostęp przez klucz odzyskiwania organizacji.
- MemberDostaje tylko to, co mu przyznano: role w środowiskach, nadane bezpośrednio lub przez profile dostępu.
| Rola w środowisku | Odczytuje | Edytuje | Otrzymuje |
|---|---|---|---|
| Editor | Wszystkie pliki | Tak | Klucz środowiska |
| Reader | Wszystkie pliki | Nie | Klucz środowiska |
| Specific files | Wybrane pliki | Nie | Zaszyfrowaną kopię tych plików |
| Operator | Nic | Nie | Brak klucza; dodaje maszyny |
Zaproś, potem sprawdź odcisk klucza
Zaproszenie to link z sekretem w środku, ważny do 7 dni. Nowy członek zespołu zakłada konto i widzi odcisk klucza; porównujesz go razem z nim, na przykład podczas rozmowy, i dopiero wtedy przyznajesz dostęp.
- Klucz należy do zaproszonej osobyPorównanie odcisku potwierdza, że nikt po drodze, łącznie z serwerem, nie podmienił klucza, któremu za chwilę przyznasz dostęp.
- Podpisane zaproszeniaZaproszenie podpisuje osoba, która je utworzyła.
- E-mail potwierdzony kodemGdy serwer ma skonfigurowaną pocztę, nowy członek zespołu potwierdza swój adres kodem.
Przyznaj raz dla całej grupy
Profil dostępu to nazwany zestaw par środowisko–rola, na przykład Developers: Editor w development i staging. Zmieniasz go raz, a zmiana obejmuje każdego członka profilu.
- Każda wersja jest podpisanaKażda zmiana profilu to nowa podpisana wersja, więc wiadomo, kto co zmienił.
- Bezpośrednio lub przez profilLista dostępu członka zespołu pokazuje, skąd pochodzi każda rola: nadana bezpośrednio lub przez profil dostępu.
- Miejsce dla dużych zespołówLista dostępu jednego środowiska mieści do 5000 wpisów.
Niech ludzie proszą o to, czego potrzebują
Członek zespołu prosi o dostęp i podaje powód. Prośba pojawia się w sekcji Access requests i w liczniku Pending actions, gdzie właściciel lub administrator ją zatwierdza albo odrzuca.
- Operatorzy proszą o dostęp dla maszynOperator, który nigdy nie widzi wartości, może poprosić o dostęp dla maszyny lub dla członka zespołu.
- Członkowie widzą tylko swoje środowiskaSerwer pokazuje członkowi zespołu tylko środowiska z jego listy dostępu. Właściciele i administratorzy widzą każde wspólne środowisko.
- Ludzie mogą wrócićUsuniętego członka zespołu można przyjąć z powrotem bez naruszania historii podpisów.
Czego kontrola dostępu nie obejmuje
Role decydują, kto dostaje klucz. Nie wygasają same i nie odbiorą tego, co ktoś już odczytał.
- Brak daty końca dla ludziDostęp trwa, dopóki go nie odbierzesz. Zaproszenia, linki dostępu, tokeny, dzierżawy maszyn i dostęp awaryjny wygasają.
- Brak SSO i SCIMCzłonkowie zespołu logują się hasłem, Secret Key i drugim składnikiem. Nie ma logowania jednokrotnego ani synchronizacji katalogu użytkowników.
- Administratorzy sięgają do wszystkiego, co wspólneWłaściciele i administratorzy mogą otworzyć wszystkie wspólne środowiska przez klucz odzyskiwania organizacji. Niech tych ról będzie niewiele.
- Odczytać znaczy skopiowaćKażdy, kto odszyfruje wartość, może ją skopiować. Odebranie dostępu nie sprawi, że ktoś zapomni, co widział.
Odpowiedzi na częste pytania
Masz inne pytanie? Napisz na support@crunu.com
Czy ktoś z dostępem do development odczyta production?
Nie. Każde środowisko ma własny klucz, a klucz do production jest szyfrowany tylko dla ludzi i maszyn, którym przyznano production.
Czym różni się Reader od Specific files?
Reader odczytuje każdy plik w środowisku. Osoba z rolą Specific files dostaje zaszyfrowaną kopię tylko wybranych przez ciebie plików, odświeżaną przy zapisie środowiska, i nie może ich edytować.
Czy mogę dać komuś z zespołu dostęp na tydzień?
Nie z datą końca. Dostęp dla ludzi trwa, dopóki go nie odbierzesz. Aby przekazać kilka plików na ograniczony czas, użyj linku dostępu z terminem ważności.
Czy Crunu obsługuje SSO lub SCIM?
Nie. Nie ma logowania jednokrotnego dla ludzi ani synchronizacji katalogu użytkowników.
Po co sprawdzać odcisk klucza, gdy ktoś dołącza?
Potwierdza to, że klucz, któremu przyznajesz dostęp, należy do zaproszonej osoby, a nie do kogoś po drodze, łącznie z serwerem.
Ustaw role, zanim zespół urośnie
Utwórz organizację, dodaj profil dostępu dla programistów i zaproś pierwszą osobę.