निर्माण प्रक्रिया के हिस्से के रूप में कोड हस्ताक्षर

Question

मैं कोड हस्ताक्षर के संबंध में कुछ सर्वोत्तम प्रथाओं को समझना चाहता हूं। हमारे पास ग्रहण-आधारित एप्लिकेशन है और लगता है कि हमारे प्लग-इन पर हस्ताक्षर करना उचित होगा।

• /निजी कुंजी स्रोत नियंत्रण में होना चाहिए कर सकते हैं: इस सवाल का एक बहुत उठाया?

• क्या हमें अपनी रिलीज प्रक्रिया के हमारी रात की निर्माण प्रक्रिया या भाग के हिस्से के रूप में कोड पर हस्ताक्षर करना चाहिए?

• क्या कोड को स्वचालित रूप से पर हस्ताक्षर किया जाना चाहिए, या कोई कारण है यह मैन्युअल चरण क्यों होना चाहिए?

मेरे झुकाव कहते हैं, "हाँ", "रात", और "स्वचालित रूप से" है, लेकिन मैं केवल रिहाई उत्पादों पर हस्ताक्षर करने के लिए एक तर्क देख सकता था। मैं यह तर्क भी दे सकता हूं कि एसक्यूए को सत्यापित करने के बाद कोड पर हस्ताक्षर करना चाहिए, हालांकि यह वास्तव में हमारी रिलीज प्रक्रिया के साथ गड़बड़ करेगा।

अन्य लोग इसका प्रबंधन कैसे करते हैं?

Answer 1

यह इस बात पर निर्भर करता है कि आप अपनी निजी कुंजी कितनी सुरक्षित रहना चाहते हैं, यह ऐसा कुछ नहीं हो सकता है जिससे आप अस्थायी कर्मचारी को स्रोत पहुंच के साथ पूर्ण पहुंच प्राप्त कर सकें।

मेरे काम में, हम निम्नलिखित है:

"टेस्ट संकेत" बाइनरी हमारे दैनिक के हिस्से के रूप में एक कुंजी जाँच के साथ बनाता है। बाइनरी पर भरोसा करने के लिए मशीनों पर परीक्षण रूट प्रमाण पत्र की आवश्यकता होती है, लेकिन अगर कंपनी के बाहर बिट्स तैनात किए जाते हैं तो उन्हें भरोसा नहीं किया जाएगा।

साप्ताहिक (और बाहरी रिलीज के लिए), हम असली कुंजी के साथ साइन इन करते हैं। यह एक अलग, कुछ हद तक मैन्युअल प्रक्रिया के माध्यम से किया जाता है। उत्पाद पर हस्ताक्षर करने के लिए केवल कुछ लोगों के पास कुंजी तक पहुंच है।

Answer 2

मैं आपको बता सकता हूं कि मैंने इसे एक बड़े कॉर्प में कैसे किया है। व्यक्तिगत डेवलपर्स कोड बना सकते हैं, लेकिन वे इसे साइन नहीं कर सके। यह एक निजी निर्माण होगा। कंटिगुओस एकीकरण मशीन बिल्ड मशीन कीस्टोर पर संग्रहीत कुंजी के साथ रात के निर्माण पर हस्ताक्षर करेगी, जो कॉरपोरेट सर्टिफिकेट अथॉरिटी (यानी एक कॉर्प के भीतर केवल एक प्रमुख विश्वसनीय) द्वारा हस्ताक्षरित एक परीक्षण कुंजी होगी। आधिकारिक निर्माण केवल नियंत्रित मशीनों द्वारा हस्ताक्षरित किया जा सकता है, आधिकारिक, वैश्विक भरोसेमंद प्राधिकारी हस्ताक्षरित, नियंत्रण कक्ष में हार्डवेयर मॉड्यूल में संग्रहीत हस्ताक्षर कुंजी।

विचार यह है कि एक निजी कुंजी वास्तव में दुनिया में केवल एक प्रति (एस्क्रो के लिए एक अतिरिक्त) होना चाहिए। कुंजी का पूरा मूल्य इसकी गोपनीयता से लिया गया है, किसी और चीज़ से नहीं। पल आपके पूरे संगठन के लिए उपलब्ध है, यह समुद्री डाकू बे पर इसे बाहर रखने के रूप में अच्छा है।