Puedes administrar llaves SSH en tus servidores cuando automatices tus scripts de despliegue utilizando el reenvío del agente de SSH, HTTPS con tokens de OAuth, o usuarios máquina.
Reenvío del agente SSH
En muchos casos, especialmente al inicio de un proyecto, el reenvío del agente SSH es el método más fácil y rápido a utilizar. El reenvío de agentes utiliza las mismas llaves SSH que utiliza tu ordenador de desarrollo local.
Pros
- No tienes que generar o llevar registros de las llaves nuevas.
- No hay administración de llaves; los usuarios tienen los mismos permisos en el servidor y localmente.
- No se almacenan las llaves en el servidor, así que, en caso de que el servidor se ponga en riesgo, no necesitas buscar y eliminar las llaves con este problema.
Contras
- Los usuarios deben ingresar cno SSH para hacer los despliegues; no pueden utilizarse los procesos de despliegue automatizados.
- El reenvío del agente SSH puede ser difícil de ejecutar para usuarios de Windows.
Configuración
- Habilita el reenvío de agente localmente. Consulta nuestra guía sobre el redireccionamiento del agente SSH para obtener más información.
- Configura tus scripts de despliegue para utilizar el reenvío de agente. Por ejemplo, el habilitar el reenvío de agentes en un script de bash se vería más o menos así:
ssh -A serverA 'bash -s' < deploy.sh
Clonado de HTTPS con tokens de OAuth
Si no quieres utilizar llaves SSH, puedes utilizar HTTPS con tokens de OAuth.
Pros
- Cualquiera que tenga acceso al servidor puede desplegar el repositorio.
- Los usuarios no tienen que cambiar su configuración local de SSH.
- No se necesitan tokens múltiples (uno por usuario); un token por servidor es suficiente.
- Los tokens se pueden revocar en cualquier momento, convirtiéndolos esencialmente en una contraseña de un solo uso.
- Se puede generar nuevos tokens con scripts si se utiliza la API de OAuth.
Contras
- Debes asegurarte de que configuras tu token con los alcances de acceso correctos.
- Los tokens son prácticamente contraseñas, y deben protegerse de la misma manera.
Configuración
Consulta nuestra guía sobre la automatización de tokens en Git.
Llaves de implementación
Puedes lanzar proyectos desde un repositorio de GitHub Enterprise hacia tu servidor al utilizar una llave de despliegue, la cual es una llave SSH que otorga acceso a un repositorio específico. GitHub Enterprise adjunta la parte pública de la llave directamente en tu repositorio en vez de hacerlo a una cuenta de usuario, y la parte privada de ésta permanece en tu servidor. Para obtener más información, consulta la sección "Entregar despliegues".
Las claves de despliegue con acceso de escritura pueden llevar a cabo las mismas acciones que un miembro de la organización con acceso administrativo o que un colaborador en un repositorio personal. Para obtener más información, consulta las secciones "Niveles de permiso en los repositorios para una organización" y "Niveles de permiso para un repositorio de una cuenta de usuario".
Pros
- Cualquiera que tenga acceso al repositorio y al servidor tiene la capacidad de desplegar el proyecto.
- Los usuarios no tienen que cambiar su configuración local de SSH.
- Las llaves de despliegue son de solo lectura predeterminadamente, pero les puedes otorgar acceso de escritura cuando las agregas a un repositorio.
Contras
- Las llaves de despliegue solo otorgan acceso a un solo repositorio. Los proyectos más complejos pueden tener muchos repositorios que extraer del mismo servidor.
- Las llaves de lanzamiento habitualmente no están protegidas con una frase de acceso, lo cual hace que se pueda acceder fácilmente a ellas si el servidor estuvo en riesgo.
Configuración
- Ejecuta el procedimiento de
ssh-keygenen tu servidor, y recuerda en donde guardaste el par de llaves pública/privada de rsa. - En la esquina superior derecha de cualquier página de GitHub Enterprise, da clic en tu foto de perfil y luego da clic en Tu perfil.
- En tu página de perfil, da clic en Repositorios y luego en el nombre de tu repositorio.
- Desde tu repositorio, da clic en Configuración.
- En la barra lateral, da clic en Desplegar llaves y luego en Agregar llave de despliegue.
- Proporciona un título, pégalo en tu llave pública.
- Selecciona Permitir acceso de escritura si quieres que esta llave tenga acceso de escritura en el repositorio. Una llave de despliegue con acceso de escritura permite que un despliegue cargue información al repositorio.
- Da clic en Agregar llave.
Usuarios máquina
Si tu servidor necesita acceder a repositorios múltiples, puedes crear una nueva cuenta de GitHub Enterprise y adjuntar una llave SSH que se utilizará exclusivamente para fines de automatización. Ya que ninguna persona utilizará esta cuenta de GitHub Enterprise, se le llama usuario máquina. Puedes agregar el usuario máquina como colaborador en un repositorio personal (otorgándole acceso de lectura y escritura), como un colaborador externo en el repositorio de una organización (otorgándole acceso de lectura, escritura y administrador), o a un equipo con acceso a los repositorios que necesite para la automatización (otorgándole los permisos del equipo).
Pros
- Cualquiera que tenga acceso al repositorio y al servidor tiene la capacidad de desplegar el proyecto.
- No se necesitan usuarios (humanos) para cambiar su configuración local de SSH.
- No se necesitan llaves múltiples; una por servidor está bien.
Contras
- Únicamente las organizaciones pueden restringir a los usuarios máquina para que tengan acceso de solo lectura. Los repositorios personales siempre otorgan a los colaboradores acceso de lectura/escritura.
- Las llaves de los usuarios máquina, tal como las llaves de despliegue, a menudo no se encuentran protegidas con una frase de acceso.
Configuración
- Ejecuta el procedimiento de
ssh-keygenen tu servidor y adjunta la llave pública a la cuenta del usuario máquina. - Otorga a la cuenta del usuario máquina el acceso a los repositorios que quieras automatizar. Puedes hacer esto si agregas la cuenta como un colaborador, como un colaborador externo, o a un equipo en una organización.