Birden çok github projesi için aynı dağıtım anahtarını kullanma

Github, aynı ssh dağıtım anahtarının birden fazla proje için kullanılmasına izin vermez; bu, bazı durumlarda çok yararlı olabilir (örneğin, özel alt modüllerle projeyle ilgilenen CI sunucusu). Bu sınırlamanın 'güvenlik nedenleriyle' var olduğunu söyleyen çeşitli konular gördüm, ancak henüz tam olarak hangi riski artıracağına dair ikna edici bir açıklama göremedim.

Github'ın Hesap Düzeyi anahtarlarının yeniden kullanılmasına izin vermemesinin mantıklı olduğunu unutmayın (iki kullanıcı anahtarları paylaşmamalıdır). Sorguladığım tek şey Anahtarları Dağıtma konusundaki kısıtlamadır .

Ve açık olmak gerekirse, geçici çözümler (sahte bir kullanıcı oluşturun, birden çok anahtar kullanın, ...) aramıyorum , ancak yalnızca Dağıtım Anahtarları üzerindeki bu sınırlama için makul bir açıklama için.

İlgili konular:

• Bir geçici çözüm gösteren
• Konuyu tartışan ama gerçekten hiçbir yere gitmeyen biri

Referans verdiğiniz geçici çözümle gösterilen tek neden (tek bir "derleme" kullanıcısı oluşturmak veya id_rsa.REPONAME.pubher depo için aynısını paylaşmak ):

farklı kullanıcı için genel / özel anahtarı paylaşmaktan kaçının

Sizin durumunuzda durum böyle olmasa da (birden fazla proje oluşturun), aynı ssh anahtarının yeniden kullanılmasına izin vermek, iki farklı kullanıcının aynı ssh anahtarını paylaşma olasılığını açar ve bu da kimlik doğrulama amacını ortadan kaldırır .

Kimlik doğrulama,
"belirli bir ssh anahtarının kullanılması, onu kimin kullandığını bilmeniz gerektiği anlamına gelmelidir" anlamına gelir .

GitHub sayfası " Dağıtım anahtarlarını yönetme " ssh kullanan çeşitli hesapların ayrıntılarını verir:

• SSH aracı yönlendirme : Ajan yönlendirme, sunucunuza SSH girdiğinizde ve git komutlarını çalıştırdığınızda yerel geliştirme makinenizde zaten ayarlanmış olan SSH anahtarlarını kullanır.
  Uzak sunucuların, yerel ssh aracınıza, sunucuda çalışıyormuş gibi erişmesine izin verebilirsiniz.
  Bu nedenle, özel anahtarınızı sunucuda çoğaltmanıza gerek yok.

• Makine kullanıcıları : (bu, "sahte hesap" stratejisidir) Anahtarı bir kullanıcı hesabına ekleyin. Bu hesap bir insan tarafından kullanılmayacağından, buna makine kullanıcısı denir.
  Bu kullanıcıya bir insan gibi davranırsınız, anahtarı normal bir hesapmış gibi makine kullanıcı hesabına ekleyin.
  Hesap ortak çalışanına veya ekibe, erişmesi gereken depolara erişim verin.
  Yani sunucu başına bir "makine kullanıcısı" ile ilişkilendirilmiş bir özel anahtar.

( DHA işaret yorumlarda bir dağıtma anahtar sınırı numarasına ve aslında yalnızca bir makine kullanıcı hesabı olabilir)

• Sunucuda depolanan ve GitHub'daki tek bir depoya erişim izni veren anahtarı (GitHub deposu başına bir tane) SSH anahtarını dağıtın.
  Bu anahtar, bir kullanıcı hesabı yerine doğrudan depoya eklenir .
  Hesap ayarlarınıza gitmek yerine, hedef deponun yönetici sayfasına gidin.
  " Deploy Keys" Öğesine gidin ve " " öğesini tıklayın Add deploy key. Genel anahtarı yapıştırın ve gönderin.

Bu sefer, ssh anahtarı bir kullanıcıya değil (bunun için birkaç depoya erişim verebilirsiniz), ancak bir depoya eklenir. Birkaç depo
için ssh erişiminin verilmesi, "makine kullanıcısı" ile eşdeğer olacaktır.

Dönemi içinde kimlik doğrulama :

• Aynı anahtarın birkaç depo için kullanılması, bir kullanıcı tarafından yapıldığında (hesabıyla ilişkili anahtarın olduğu söylenir) sorun değildir.
• Birden fazla depo için aynı anahtarı kullanmak, anahtar bir depo tarafından eklendiğinde uygun DEĞİLDİR, çünkü kimin neye eriştiğini bilmiyorsunuz .
  Bu, bir "kullanıcı" nın birçok depo için ortak çalışan olarak bildirildiği "makine kullanıcısı" ndan farklıdır.
  Burada (Deploy anahtarı), "ortak çalışan" yoktur , yalnızca depoya verilen doğrudan bir ssh erişimi vardır.

Ne yazık ki bu, github'ın bir anahtar çifti ile bir hesap veya proje arasındaki farkı yanlış yorumladığı bir senaryodur.

Bir anahtar çifti kimlik doğrulama ve yetkilendirme için kullanıldığından, etkin bir kimliktir. Github hesapları başka bir kimliktir. Github hesaplarını anahtar çiftlerine bağlamak, github hesabına dayalı kimlikler ve anahtar çifti kimlikleri arasında etkili bir şekilde 1: N eşleme oluşturur.

Tersine, github anahtar çifti tabanlı kimlikler için projelerin 1: N eşlemesini zorlar. Gerçek dünya benzeri, projeye erişim sağlayan ve birçok farklı insan tarafından açılabilen bir kapı olmasıdır. Ancak herhangi biri kapının anahtarını aldığında, başka bir kapı için başka anahtar alamaz, bir daha asla.

Bir anahtarın ele geçirilmesi durumunda, ihlalleri içerme açısından anahtarları sık sık tekrar kullanmamak mantıklıdır. Ama bu sadece iyi bir yönetim politikası . Prensipte bir anahtarın birden fazla kullanılmasını engellemek pek mantıklı değil . Asla tekrar kullanılmayan bazı kapılar için bazı anahtarlar var, yine bu da politikaya bağlı .

Biraz daha karmaşık bir bakış açısı, anahtar çiftleri roller olarak göstermektir . Pek çok anahtar çiftine sahip olabilirsiniz ve bu nedenle birçok role sahip olabilirsiniz. Özel anahtar, rol için kimliğinizi doğrular.

Github'ın projelere anahtar eşlemesi dağıtması, bir rolün asla birden fazla görevi kapsamayacağını belirtir. Bu nadiren gerçekçi.

Elbette ki bunların hiçbiri github'ın izin verdiği şeyleri değiştirmez.

Çıkarımları rasyonelleştirmek için çok düşündüm ve bu senaryoyu ürettim.

Birden çok depoya atadığınız bir kullanıcı için tek bir dağıtım anahtarı oluşturduğunuzu hayal edin. Şimdi bu anahtarı iptal etmek istiyorsunuz, ancak birden çok yerde kullanılıyor. Dolayısıyla, tüm erişimi iptal edebilmek yerine, yanlışlıkla yalnızca kısmi erişimi iptal edebilirsiniz.

Bu bir fayda gibi görünebilir, ancak insan faktörünü düşündüğünüzde bu çoka bir ilişki aslında doğası gereği güvensizdir. Bunun nedeni, her depoyu incelemeden tüm erişimi gerçekten iptal edip etmediğinizden emin olamamanız ve gerçekte nereye atadığınızı unuttuğunuz durumda her bir genel anahtarı ayrı ayrı karşılaştırmanızdır.

Bu kadar çok benzersiz anahtarı atamak ve yönetmek kesinlikle sinir bozucu ama GitHub'ın politikalarını nasıl oluşturduğuna dair güvenlik sonuçları açıktır: bir anahtarı iptal ettiğinizde, o anahtar tarafından verilen tüm erişimi iptal etme garantiniz olur çünkü anahtar yalnızca tek bir yerde kullanılır. .