Запросы на изменение секретов — правка в prod через ревью

Обычная ситуация перед релизом: разработчику нужен новый ключ Stripe в prod, а доступа к prod у него нет, и правильно, что нет. Дальше он пишет в чат «поменяйте, пожалуйста, STRIPE_API_KEY», кто-то копирует значение из сообщения. Ключ остаётся в истории чата, а через месяц уже никто не помнит, кто, когда и зачем его поменял.

В Секретах появились запросы на изменение. Теперь такая правка проходит ревью, как код в merge request: разработчик предлагает изменение, а редактор prod проверяет и применяет его.

Как это работает

Автор открывает конфигурацию и, если права записи в неё нет, вместо Сохранить видит Предложить изменение. Предложить правку можно даже в окружении, к которому у автора нет доступа. Текущих значений и имён секретов этого окружения он при этом не увидит.

Ревьюеры получают письмо с заголовком запроса, проектом и именами секретов, значений в письме нет. Запрос появляется и на главной странице кабинета, в блоке Требует внимания.

Редактор окружения проверяет дифф — было и стало для каждого секрета — и нажимает Одобрить, а затем Применить. Новые значения сразу записываются в конфигурацию, а в истории изменений остаётся запись со ссылкой на запрос: через месяц будет понятно, кто, когда и зачем поменял секрет.

В один запрос можно собрать правки для нескольких конфигураций. Каждая становится отдельным блоком со своими одобрениями: изменение в stg можно применить сразу, а prod — после релиза.

Чужие правки не затираются

Пока запрос ждёт ревью, кто-то может поменять тот же секрет напрямую. Если применить запрос поверх такой правки, она молча пропадёт. Поэтому мы применяем изменения строго: блок помечается как Устарел, и применить его нельзя, пока автор или ревьюер не обновит его от текущих значений. Одобрения после этого снимаются, и ревью начинается заново.

Политики одобрения

По умолчанию хватает одного одобрения от любого редактора окружения. Для важных окружений администратор команды может задать политику: сколько нужно одобрений и от кого, можно ли одобрить собственный запрос, кого назначать ревьюерами автоматически.

Политика действует на всю команду, на выбранные проекты или на отдельные окружения и конфигурации. Например, «два одобрения и без самоодобрения» для prod в выбранных проектах.

Что важно знать

• Запросы работают только в личном кабинете: через API, CLI и сервисные ключи их не создать и не одобрить. Одобрение должен давать человек, а не утёкший ключ или скрипт.
• Политики не запрещают прямые правки: редакторы окружения по-прежнему меняют секреты сразу. Запросы добавляют путь для тех, у кого права записи нет.
• Создавать запросы можно на платных тарифах.

Ещё одна новость для тех, кто работает с секретами через API: все методы теперь описаны в Swagger.

Запросы уже работают в разделе Секреты → Запросы на изменение. Роли, статусы и настройка политик описаны в документации.

Оставьте отзыв

Если вам нравится пользоваться Tuna, или наоборот вы недовольны чем-либо, то пожалуйста оставьте отзыв.

Новости

Анонсы новых функций и статей публикуем в Telegram-канале. Подписывайтесь, чтобы ничего не пропустить.

Помощь

Мы ценим наших пользователей и детально изучаем все обращения, если у вас возникли проблемы с tuna – обязательно свяжитесь с нами одним из способов:

• Электронная почта
• Telegram сообщество