23 октября GitHub объявил об общедоступности установок GitHub Apps на уровне предприятия. Приложения получили больше возможностей для административной автоматизации. На Mentoring.digital разбираем, когда это помогает сократить использование классических персональных токенов и почему права приложения всё равно нужно проверять.
Какие задачи охватывает изменение
Обновление затрагивает управление корпоративными правилами и политиками репозиториев, параметрами безопасности и административными настройками. В анонсе упомянуты двухфакторная аутентификация, подтверждённые домены, списки разрешённых IP-адресов и ограничения доступа.
Это позволяет использовать GitHub Apps в большем числе сценариев, где ранее применяли classic PAT. Однако анонс не означает, что любое существующее действие с персональным токеном можно перенести без проверки доступного API и требуемых разрешений.
Разрешения нужно выбирать под конкретную операцию
Для ряда API появились раздельные уровни чтения и записи вместо доступа только с записью. При настройке приложения выбирайте права, соответствующие его действительной задаче. Возможность читать сведения о предприятии не является основанием разрешать изменение его политик.
Составьте перечень вызываемых методов и сопоставьте его с правами приложения. После этого проверьте, что автоматизация выполняет нужное действие и корректно сообщает об отказе там, где прав недостаточно. Проверку записи стоит проводить на заранее согласованном безопасном объекте.
Что учитывать при переносе автоматизации
- Определите, какие задачи сейчас зависят от classic PAT.
- Проверьте поддержку каждого метода для enterprise-установки GitHub App.
- Согласуйте минимальные права и владельца интеграции.
- Переносите сценарии по одному, сохраняя возможность проверить результат.
Для GitHub Enterprise Server изменения заявлены к появлению в версии 3.24. Не следует считать это подтверждением их наличия в любой установленной версии GHES. Разобрать работу с репозиториями и автоматизацией можно с ментором по Git. Редакция не меняла настройки пользовательских предприятий.
