L'assegnazione e l'uso dei diritti di accesso privilegiato devono essere limitati e gestiti.
Manteniamo un elenco completo degli utenti con le loro chiavi SSH pubbliche, gestito tramite LinuxAid e Puppet per un controllo degli accessi efficiente. In questo modo solo SRE e amministratori autorizzati hanno accesso privilegiato, tutto configurato tramite GitOps per trasparenza e automazione.
L'accesso ai nostri cluster Kubernetes è regolato da un meccanismo RBAC, che ci permette di assegnare permessi specifici agli utenti in base ai loro ruoli nei vari ambienti (test/QA, produzione, sviluppo). Usiamo Keycloak e Netbird per accedere a questi cluster K8s e ai server Linux.
Tutti gli altri servizi richiedono l'autenticazione tramite Keycloak, con la classica combinazione di utente e password insieme alla 2FA con YubiKey. Questo aggiunge un ulteriore livello di protezione per i dati sensibili.
Le credenziali sensibili nel nostro Gitea self-hosted sono conservate in modo sicuro con Password store. Solo gli utenti le cui chiavi GPG sono autorizzate possono decifrarle, riducendo al minimo il rischio di fughe e rafforzando la sicurezza complessiva.