剧本仓库等于生产环境的操作权限
剧本仓库里放的是「对生产做什么」的指令，能改仓库的人实质上就握有对生产环境的操作能力，因此它的访问控制标准应接近代码仓库与发布系统的上限，而不能按普通文档库对待。要点集中在三处：谁能读、谁能合入、以及仓库里绝不允许出现的敏感内容。前两者靠可见性与分支保护约束，后者靠提交前检查与扫描拦在门外。
基本信息
| 适用对象 | 剧本与自动化代码所在的版本库及其集成的流水线 |
|---|---|
| 核心控制点 | 可见性、分支保护、合入审批、提交检查、集成凭据范围 |
| 禁止内容 | 口令、私钥、令牌与真实环境密钥文件 |
| 审计要求 | 保留谁在何时改动哪个剧本的记录 |
| 权限要求 | 仓库管理权限应按角色授予，避免人人可改 |
访问控制要点
- 仓库私有化：即使不含明文凭据，剧本本身也暴露网络拓扑与账号命名规律
- 保护主干：禁止直接推送，所有变更经合并请求并经至少一人评审
- 指定评审责任人：按目录约定审批人，避免无人负责的自动合入
- 提交前拦截：用钩子与扫描检查是否夹带私钥、令牌与真实密钥文件
- 集成凭据最小化：流水线用的部署凭据只对需要部署的环境生效，且定期轮换
- 保留审计记录：仓库操作日志与发布记录一并留存，用于判断某次变更是谁引入的
提交前检查示例
提交前检查示例
git diff --cached --name-only | grep -E '\.(pem|key|p12)$' && echo '疑似凭据文件，禁止提交' # 文件名粗筛
git diff --cached | grep -nE '(password|secret|token)\s*[:=]' | head # 内容粗筛
git log --oneline -20 # 复核最近合入记录是否都经过评审
git log --diff-filter=A --name-only --pretty=format: | sort -u | grep -iE 'vault|id_rsa' # 历史中新增过的可疑文件角色与权限对照
| 角色 | 仓库权限 | 典型风险 |
|---|---|---|
| 普通运维 | 只读与提交合并请求 | 无，符合最小权限 |
| 剧本维护者 | 可评审与合入 | 合入内容需负责任 |
| 流水线账号 | 只读取代码并部署 | 凭据权限过宽会波及全部环境 |
| 仓库管理员 | 可改保护规则 | 滥用会绕过所有评审 |
仓库保护规则要包含「谁能修改保护规则」这一项：如果多数人有权调整分支保护，前面的评审要求都只是建议。规则变更本身也应当是稀有且被记录的事件。
把真实凭据提交进仓库后再删除，历史记录中依然可以取回。正确处置是立即作废并更换该凭据，必要时重写历史；只删文件不换凭据等于什么都没做。