Amazon web services 在AWS上通过IP/实例保护代码库，但支持像Nucleut这样的远程开发的最佳实践是什么？

嗨，我正在为我的员工建立一个新的发展环境

如何将对Github repos/codebase的访问限制到特定的AWS EC2实例，我的员工将使用这些实例作为远程开发环境，而不是在本地机器上开发

就像Facebook中的核素一样，您可以将SSH远程连接到虚拟机并在本地工作，但使用Github，您可以通过gitub.com导出代码，或者只需克隆到另一台PC？我需要一些限制

我准备改用私人git提供商，但不确定哪一个支持这些功能

非常感谢

每当您通过管理层向GitHub Enterprise添加SSH密钥时 控制台中，您还可以指定允许或拒绝哪些IP地址 来自的连接

我会为您需要的开发人员实例数量分配一组弹性IP，然后只允许从该组IP访问每个开发人员密钥。例如，如果您有4个开发人员，则分配4个EIP，例如52.44.1.1,52.44.1.2,52.44.1.3,52.44.1.4。然后在Github管理控制台中，from将如下所示：

from="52.44.1.1,52.44.1.2,52.44.1.3,52.44.1.4" ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDYk7k1RM49DPq8UrWhO8bIgheqAZfjqXczCjRSHshq2/qt8tWBHeiLpgAUVYFoY5Hv3+JXvMkuFE4h7HZYUWp+xXVg63L0wosrq+cVo1od2ddwiyYsnUypguSqjNxRPQ4PGQoWCTGfTLLPh2Su1nHmAf/Z0fdZo3ojunLb42ErbvJ2cIWbM/PMzdEDpUMZyLrG1JL4tGVnSRweWoaFgK6EkfE+gkyytKPuOIZREVNrO4+awTXpLDqdC0h/FFmkQCrwEFqdsm6JPARfJKVnHm7RgedLN1cpFi9Jo7ZFu5dJPTbYBKnpwsmTQkJSahNVGGDO4fQUBdC9tcKUW0gvNkRR== GitHub Enterprise Admin User

---

通过这种方式，一个给定的实例可以通过一个已知的IP进行旋转，并且开发者密钥将适用于任何给定的实例。

如果您受到法规遵从性限制，您应该咨询您的法律团队、开发团队和审计人员，了解合适的实施方法。如果开发人员能够访问您的源代码，则很难完全防止数据外泄，虽然这是一个很好的问题，但不适合堆栈溢出

归根结底，这涉及两个截然不同的问题：

控制开发人员可以使用源代码和 托管一个安全的Git服务器。 注意，从检测到防止操作，有一系列选项

开发商限制 TLDR访问带有Git源代码的计算机的用户最有可能访问SSH密钥或密码，这些密钥或密码允许他们连接GitHub并在本地计算机和远程环境之间移动数据。精读

您是否有关于每个开发人员加密笔记本电脑、使用经批准的软件/工具以及正确处理数据的责任的内部政策。 您能否在开发环境VM中识别和限制网络协议以防止复制文件 您能否使用自动化流程在机器之间移动代码 您能否使用continuous deployment CI/CD自动配置用于测试的环境，以限制需要访问源代码的开发人员的数量？ 您是否准备自定义开发环境以限制和配置监视工具以识别不需要的行为。 考虑创建网络环境以及物理安全控制。这可以防止任何数据离开您的网络，但代价是阻止访问internet。 Github回购控制 用于验证谁正在提交代码。 在github.com上使用，或者在向车载/非车载用户运行github Enterprise时使用。 Github.com足以保护您的源代码吗。如果没有，您可以在上安装Github Enterprise或类似的Git解决方案 需要VPN的本地网络 您描述的专用AWS网络。 与GitHub Enterprise一起使用和来检测行为，而不是阻止行为。 安全和法律 是否有其他限制性较小的补偿控制措施符合贵公司的规定？ 公司的规章制度是通过安全内部还是通过合规外部制定的？他们灵活吗？ 您能否修改公司规定或限制哪些开发商/项目受这些限制的约束？

---

请咨询您的内部法律/安全团队，以确定流程和限制。您还可以联系Git提供商，他们通常可以提供法规遵从性和SDLC方面的最佳实践。

谢谢-我没有使用Github EE，谢谢。基于以上内容-是否有其他建议用于保持代码库安全/使用远程开发？安全SSH密钥和IP限制可能是限制访问github repo的最完整方法。您还需要考虑限制某些出站服务，以使代码库不能从该机器传送。IP限制在Github企业的旧版本上，似乎与访问管理员控件有关。在这种情况下，白色列表IP将与SSH密钥分开。如何使开发更复杂、更安全？他们仍然可以从ec2实例克隆/scp文件。你想阻止什么？由于公司的规章制度，我必须限制对代码库的访问——不管复杂程度如何。我正在寻找最实用的解决方案来阻止源代码被克隆、FTP、导出或共享，这样它就只能在特定的机器上运行。有更好的建议吗 这是什么？