Chính sách kho Git tin cậy
Kiểm soát truy cập kho Git cấu hình phạm vi kho tin cậy cho thiết bị Windows và ghi lại các lần truy cập kho bằng Git chuẩn có thể nhận diện. Khi nhận diện kho không tin cậy, thiết bị sẽ cố gắng kết thúc tiến trình Git liên quan; quy tắc khớp, tiến trình có kết thúc hay không và thao tác kho có hoàn tất hay không là các kết quả khác nhau, cần kiểm tra riêng.
Chức năng không bảo đảm bao phủ mọi ứng dụng Git, lệnh hoặc phương thức truyền và không thay thế quyền kho, mạng hoặc các biện pháp bảo mật dữ liệu khác.
Chuẩn bị
- Dùng tài khoản có quyền quản lý chính sách phòng chống thất thoát dữ liệu để cấu hình. Việc xem bản ghi liên quan cần quyền xem tương ứng và có thể do người có quyền đó thực hiện. Xác nhận thiết bị Windows thử nghiệm đã kết nối và có giấy phép và nằm trong phạm vi quản trị viên nhìn thấy.
- Tổng hợp địa chỉ, giao thức và cổng của kho cần cho nghiệp vụ; phân biệt cho phép một kho với cho phép toàn bộ không gian tên. Không đưa mật khẩu, mã truy cập hoặc thông tin xác thực vào địa chỉ kho; quyền tài khoản vẫn do dịch vụ Git quản lý.
- Chuẩn bị mục tiêu thử tin cậy và không tin cậy được cho phép, dùng tài khoản thử và nội dung không nhạy cảm. Chính sách có thể gián đoạn phát triển hoặc xây dựng, vì vậy hãy thử trên số ít thiết bị có thể khôi phục và chuẩn bị phương án quay lui.
Cấu hình kho tin cậy
- Chuyển sang DLP, mở trang ứng dụng, vào Git Repository Access Control và chọn chính sách kho tin cậy. Trong giao diện tiếng Anh, thẻ này là Trusted Repository Policies.
- Tạo hoặc sửa chính sách, nhập tên và kiểm tra thời gian hiệu lực, thiết bị, nhóm hoặc thẻ áp dụng. Chọn phạm vi thử nghiệm trước.
- Trong kho tin cậy chọn thêm kho. Với mỗi quy tắc chọn kho chính xác hoặc không gian tên kho và nhập địa chỉ tương ứng. Mỗi chính sách cần từ 1 đến 500 quy tắc hợp lệ; không nên thêm quy tắc trùng. Trong giao diện tiếng Anh, chọn Add Repository trong Trusted Repositories, rồi chọn loại quy tắc Exact Repository hoặc Repository Namespace.
- Kiểm tra giao thức, máy chủ, cổng và đường dẫn. Có thể nhập địa chỉ HTTP, HTTPS, SSH, Git hoặc dạng SSH rút gọn thông dụng. Các giao thức khác nhau không tự tương đương; cổng không mặc định cũng ảnh hưởng khớp.
- Lưu toàn bộ chính sách và chờ thiết bị thử nghiệm nhận. Thử riêng mục tiêu tin cậy và không tin cậy, sau đó đối chiếu kết quả khớp và thực thi trong bản ghi truy cập. Sau khi kiểm chứng mới mở rộng theo quy trình thay đổi.
Các địa chỉ sau chỉ là ví dụ, không phải phạm vi tin cậy mặc định:
| Quy tắc | Ví dụ | Phạm vi |
|---|---|---|
| Kho chính xác | https://git.example.com/team/project.git |
Khớp kho này, không tự bao phủ các kho khác của nhóm. |
| Không gian tên kho | https://git.example.com/team |
Khớp đường dẫn này và cấp dưới; không khớp cấp đường dẫn khác chỉ vì tiền tố tên tương tự. |
Ví dụ, không giả định quy tắc HTTPS bao phủ địa chỉ SSH của cùng máy chủ; nếu nghiệp vụ cần cả hai phải cấu hình và kiểm thử riêng. Không gian tên thường rộng hơn một kho, nên cần xác nhận phạm vi phù hợp trước khi lưu.
Lưu ý khớp địa chỉ: Khi giao thức, máy chủ và cổng giống nhau, phần .git ở cuối đường dẫn kho được bỏ qua khi đối chiếu. Tên máy chủ không phân biệt chữ hoa chữ thường, nhưng đường dẫn kho có phân biệt. Ví dụ team/project.git và team/project khớp cùng đường dẫn kho; không giả định team/Project và team/project giống nhau. Hãy thử riêng với địa chỉ dịch vụ thực tế.
Giới hạn và khắc phục sự cố
Phạm vi: Các thao tác mạng Git chuẩn có thể nhận diện gồm
clone,fetch,pullvàpush; cần thử riêng các lệnh, tùy chọn, ứng dụng khách và tình huống Git LFS. Không có bản ghi không chứng minh không có truy cập.Không nhận diện được mục tiêu: Một số mục tiêu không phân tích được sẽ không bị chặn như kho không tin cậy. Cần kết hợp biện pháp khác, không coi chức năng này bảo đảm kiểm soát mọi lần gửi ra ngoài.
Truy cập không tin cậy không bị chặn: Kiểm tra mục tiêu thực tế có được nhận diện, kết quả khớp và thực thi tiến trình. Việc kết thúc có thể thất bại hoặc tiến trình đã thoát; ngay cả khi kết thúc thành công cũng không thể chỉ từ bản ghi khẳng định trước đó không có liên lạc mạng hay truyền dữ liệu.
Kho tin cậy bị ảnh hưởng: Kiểm tra chính sách đã phân phối và giao thức, cổng, đường dẫn thực tế; kiểm tra việc viết lại địa chỉ kho và phạm vi không gian tên. Sau điều chỉnh, thử lại riêng trường hợp cho phép và hạn chế.
Không tìm thấy bản ghi: Kiểm tra trạng thái thiết bị và chính sách, giấy phép, phạm vi tài khoản, thời gian và bộ lọc; chờ báo cáo rồi thử lại. Nếu phát triển bình thường bị ảnh hưởng, khôi phục theo quy trình tổ chức trước rồi kiểm tra phạm vi chính sách.
Ngày cập nhật