Kod olarak Altyapı: Pulumi Bulutunda Güvenlik ve Genişletilmiş Kontrol

Temizlik ekibi, bulut kaynaklarına erişimin güvenliğini ve kontrolünü otomatikleştirmek için altyapı (IC) kod platformunu yeni işlevlerle genişletiyor. Değişiklikler, diğer şeylerin yanı sıra, rol (RBAC) temelli bir erişim kontrol sistemi, kayıt verilerinin otomatik olarak dönmesi ve GitHub eylemlerinin CI/CD boru hattıyla çalışırken sırların yönetimi için entegrasyonu ile ilgilidir.

Otomatik sırların ve entegre github çalışma akışlarının dönmesi

ESC temizliğinde (çevre, sırlar ve yapılandırma yönetimi), kullanıcılar artık statik erişim verileri için sırları otomatik olarak döndürebilir. Amaç, güvenliği artırabilmek ve dinamik erişim verilerine geçmeyen ortamlarda da uyumluluk gereksinimlerini daha iyi karşılayabilmektir. Gizli sırların işlevi, gerekirse değişikliği başlatmanıza veya bir dönme yüzeyinden kontrol etmenize olanak tanır. İki saniyelik bir strateji izler, böylece her iki erişim bilgisi de geçiş aşamasında mevcuttur. Tüm değişiklikleri anlamak ve kontrol etmek için, gizli sırların her biri değişiklik zamanını kaydeder ve kimler erişebilir.

Statik sırlara ve kayıt verilerine alternatif olarak, GitHub eylemlerinin ESC temizleme ekiplerine entegrasyonunun, bu bilgileri gerektiği gibi iş akışlarına eklemesine ve dinamik olarak döndürmesine izin verir. Herhangi bir ESC komutu, örneğin bir CI/CD işleminin bir parçası olarak oluşturmak, güncellemek veya kapatmak için GitHub eyleminin çalışma akışlarında da gerçekleştirilebilir. Bunu yapmak için GitHub eylemi ESC Cli Pulumi'yi indirebilir ve tüm çevresel değişkenleri veya hatta kesinlikle bir ESC ortamından ekleyebilir. Aşağıdaki listede, bulut düğmelerine kayıttan çevresel değişkenlerin eklenmesine kadar basit bir iş akışının GitHub'a nasıl entegre edilebileceğine dair bir örnek göstermektedir:

on:
  - pull_request

permissions:
  id-token: write
  contents: read

jobs:
  test-env-injection:
    runs-on: ubuntu-latest
    steps:
      - name: Check out repository
        uses: actions/checkout@v4
      - name: Authenticate with Pulumi Cloud
        uses: pulumi/auth-actions@v1
        with:
          organization: pulumi
          requested-token-type: urn:pulumi:token-type:access_token:organization
      - name: Install and inject ESC environment variables
        uses: pulumi/esc-action@v1
        with:
          environment: 'tinyco/someProject/myEnv@stable'
      - name: Verify environment variables
        run: |
          echo "FOO=$FOO"
          echo "SOME_IMPORTANT_KEY=$SOME_IMPORTANT_KEY"
          echo "TEST_ENV=$TEST_ENV"

Tüm temizlik bulutunun rolüne göre erişim kontrolü

Bir kuruluş içinde daha iyi yönetebilmek için, kaynaklara erişebilen ve bunları değiştirebilenler, Rol'e (RBAC) göre erişimi kontrol etmek için bir sistem sunar. Sistem, temizlik bulutundaki tüm ürünler üzerinde eşit olarak çalışmalı ve IAC Stack, ESC ortamları ve hesap bilgileri gibi kaynaklara erişimi ayarlamalıdır. Bu nedenle kullanıcılar, kullanıcı ve ekip seviyesine erişim için belirli yetkileri ayrıntılı olarak yapılandırabilir. Roll tabanlı yanlış erişim Yanlış erişim, otomatik işlemlerin yalnızca gerekli yetkilere sahip olduğu kontrol edilebilir.

Gizli sırların yeni işlevleri, GitHub eylemlerinin entegrasyonu ve temizlik yazıtları gibi siyasi kodun kapasitesinin genişletilmesi zaten tamamen mevcuttur. Açıklanan RBAC sistemi için, belirli başlangıç ​​tarihi kısa süre içinde takip edilmelidir.

(harita)