Jenkins / الحالة المحفوظة والتسليم المضبوط / الدرس 15
عزل المتحكم وحدود أمان النصوص
افصل موافقة اللغة وتنفيذ النظام وتأثير المستودع وسلطة الاعتماد.
في هذه الصفحة
أهداف الدرس
- شرح قصور مشاركة شيفرة البناء سلطة المتحكم.
- مراجعة رفض sandbox دون موافقة شاملة.
يؤثر كتّاب البناء في التنفيذ
قد تختلف ثقة المدير ومعد المهمة وكاتب المكتبة ونص البناء والمساهم، ويؤثر الجميع في ما ينفذ. قد يطلق Jenkinsfile موثوق خطاف اعتماد أو اختباراً غير موثوق. تتبع المسارات قبل منح سر أو عقدة حساسة. لا تمنح تحقق اقتراح Parcel قدرة إنتاج لأن إعداداً موثوقاً بدأه فقط. تحدد المصادقة الفاعل ويحدد التفويض والعزل أثر شيفرته. لا يكفي التحقق من صاحب ملف التعريف إذا تغير برنامج يستهلكه لاحقاً؛ يظل هذا البرنامج مدخلاً تنفيذياً ضمن نطاق مراجعة السلطة.
المتحكم حد تنسيق حساس
تؤكد الإرشادات الرسمية تجنب بناء العمل على العقدة المدمجة ومراجعة حماية الوكيل إلى المتحكم. قد تصل الأوامر خلاف ذلك إلى ملفات وسلطة لا تخص اختبار التطبيق. يحتاج فصل الوكيل عزلاً فعلياً للنظام والشبكة والهوية، لا تغيير وسم فقط. لا تعيد الدورة تهيئة عقدة أو تنفذ إدارة. يقيم المالك البنية والإعداد المدعوم قبل تفويض عبء عند حد مختلف. ينبغي وصف الموارد التي لا يستطيع الوكيل الوصول إليها بالفعل، لا الاكتفاء بأن اسمه في الواجهة مختلف عن اسم المتحكم.
ليست الموافقة إصلاح خطأ عاماً
يقيد sandbox Groovy استدعاءات داخلية، ويمكن للموافقة تخويل تواقيع أو نصوص وفق النموذج. قد يؤثر التخويل في أكثر من استدعاء ويحتاج مراجعة السلطة. يدل RejectedAccessException على حد لغة لا صحة الطلب تلقائياً. فضّل خطوة Pipeline مدعومة أو مساعداً ضيقاً مراجعاً. لا توافق كل المعلق أو تعطل الحماية كتخريج روتيني. تخضع صدفة الوكيل لنموذج نظام مختلف. لا يثبت مرور اللغة منع برنامج خارجي من قراءة ملفات مستخدم الوكيل أو الوصول لشبكته المسموحة، لذا يظل عزل التنفيذ مطلوباً.
تتبع الثقة دون تنفيذ مجس
يفصل الرسم ثلاثة مسارات تأثير ولا يمثل اختبار أمن أو أمراً لقراءة حساس. راجع كتّاب المصدر وصيانة الإضافة والمكتبة ونطاق السر وهوية العقدة والشبكة. قد يحول الوصول الداخلي الواسع بناء قليل الثقة إلى طريق لأنظمة أخرى حتى دون طباعة سر. تتكامل الضوابط؛ لا يحل sandbox أو قناع أو حاوية مشكلة الثقة كلها. يساعد الرسم على تحديد من يجب أن يراجع التغيير، وعلى توضيح لماذا لا يصلح تجاوز رفض لغة من دون فهم القدرة التي يضيفها ذلك إلى التنفيذ.
repository and dependency writers -> build commands on agent
trusted library writers -> privileged Pipeline implementation
controller administrators -> configuration and security policyتصف الأسهم تأثيراً للمراجعة. لا تُقرأ ملفات المتحكم أو أسراره أو شبكته أو وحدة نصوصه أو API إداري.
اشترط الثقة والقدرة مستقلة
لا يسمح النموذج الكامل إلا بشيفرة موثوقة وعقدة مسموحة ونطاق اعتماد مطابق. يرفض غياب كل شرط مستقلاً. ليس مقيم أذونات Jenkins أو sandbox أو برهان تهديد. أثبت الحقائق من إعداد موثق وبنية مراجعة. يمنع النموذج اختزال القرار في اسم مهمة مألوف. احتفظ بأصغر قدرة وصرح بالافتراضات الخارجة. لا تمنح true وصولاً فعلياً ولا تثبت أن الشيفرة موثوقة؛ بل تظهر نتيجة جمع حقائق يفترض المثال وجودها، وهي نفسها تحتاج أدلة وصلاحيات مستقلة في النظام الحقيقي.
def allowed(trusted_code, permitted_node, matching_scope):
return all((trusted_code, permitted_node, matching_scope))
for case in [(False, True, True), (True, False, True), (True, True, True)]:
print(allowed(*case))False
False
Trueتُقيّم قيم معلنة فقط. لا يُستعلم عن إذن أو عقدة أو اعتماد أو قاعدة أو مورد خارجي ولا تتغير.
الأخطاء الشائعة وإصلاحها
تُوافق كل التواقيع لينجح البناء.
- لماذا يحدث؟
- عومل قرار أمن لغة كتصحيح صياغة.
- كيف تصلحه؟
- راجع الاستدعاء وفضّل واجهات ضيقة مدعومة.
- كيف تتجنب تكراره؟
- احفظ مبرر ونطاق التخويل المصرح.
ينفذ التعريف الموثوق غير الموثوق بسر إنتاج.
- لماذا يحدث؟
- اختلطت ثقة التعريف بكل مدخل لاحق.
- كيف تصلحه؟
- افصل التحقق المقيد والعمل المميز.
- كيف تتجنب تكراره؟
- تتبع المصدر والاعتماد والمساعد والمكتبة.
يوصف الوسم كعزل نظام تشغيل.
- لماذا يحدث؟
- اختلط التوجيه بفرض العزل.
- كيف تصلحه؟
- راجع الهوية والملفات والشبكة والتحكم الفعلي.
- كيف تتجنب تكراره؟
- وثق الحد الملموس لكل فئة عقد.
اختبر فهمك
1. هل يثبت sandbox عجز أمر صدفة عن شبكة الوكيل؟
اعرض الحل المشروح
لا. يحكم استدعاءات اللغة الداخلية. تعمل الصدفة بسلطة النظام والشبكة للوكيل. راجع الحد المستقل خاصة للمصدر والخطافات غير الموثوقة.
2. لماذا كاتب مستودع مكتبة موثوقة دور حساس؟
اعرض الحل المشروح
قد يعمل تنفيذها خارج قيود Groovy المعتادة وفق الإعداد، فيؤثر التحكم بمصدرها في سلطة عالية. راجع الكاتب والنسخة والواجهة والصيانة ولا تعامل المشاركة كإعادة استخدام بريئة تلقائياً.
أهم ما تعلمته
- حدد كل تأثير تنفيذي موثوقاً صراحة.
- موافقة اللغة وعزل المتحكم وسلطة الوكيل ضوابط منفصلة.