Как ограничить разрешения токена?

Мои разработчики используют плагин IntelliJ SonarLint для подключения к нашему серверу SonarQube и выполнения локального анализа

Для подключения к серверу им необходимо предоставить токен, поэтому я хочу создать один токен, который может быть распространен среди всех разработчиков. Я хочу, чтобы этот токен имел минимальные привилегии, т. Е. Разрешать только загрузку правил, чтобы позволить локальному анализу работать.

Если я создаю токен как администратор SonarQube, означает ли это, что токен имеет больше привилегий, чем токен, созданный пользователем без прав администратора? Документация SonarQube подразумевает, что любой токен может выполнять полный список веб-служб SonarQube.

1 ответ

Решение

Созданный вами токен обладает всеми вашими привилегиями. Также невозможно получить привилегии с помощью токена вместо имени пользователя / пароля или ограничить привилегии токена. В SonarQube токены и имя пользователя / пароль очень похожи - оба сообщают серверу, кто вы и что вам разрешено делать.

Решение в вашем случае может быть:

  1. Создайте нового технического пользователя, который имеет очень ограниченные привилегии. Используйте пароль, который знают только ВЫ
  2. Войти как этот пользователь
  3. Создайте набор токенов, по одному для каждого разработчика, с именем разработчика в качестве имени токена
  4. Дайте каждому разработчику свой токен
  5. Каждый раз, когда разработчик покидает компанию, аннулируйте его / ее токен
Другие вопросы по тегам