AdamWen95
14 lines
1.2 KiB
Markdown
14 lines
1.2 KiB
Markdown
# ADR 0001：内网免登录入口与固定操作权限
|
|
|
|
日期：2026-10-13。状态：已实施。
|
|
|
|
用户选择公司内网少数人使用、暂不设置账号。采用 Nginx 来源网段限制和固定操作身份，保留 Rundeck 服务端授权。任务维护继续通过受控源码和服务器维护流程完成。
|
|
|
|
仅不发布后端端口，宿主机仍可连接容器 IP 并伪造预认证角色。实际将后端与代理放入同一本项目网络命名空间，后端只监听其回环；代理覆盖所有受信身份头。宿主机 root / Docker 管理者处于信任边界内。
|
|
|
|
共享 xas-intranet 身份的代价是无法确定具体操作人。日志只保留来源 IP、方法、路径、状态与大小，不记录查询参数或会话信息。允许网段来自现场网络配置，不开放整个私有地址空间。
|
|
|
|
以后需要逐人权限或审计时，再将固定身份替换为真实认证；当前不提前建设账号系统。
|
|
|
|
依据：[Rundeck 预认证](https://docs.rundeck.com/docs/administration/security/authentication.html#preauthenticated-mode-using-headers)、[Docker 端口边界](https://docs.docker.com/engine/network/port-publishing/)、[Nginx 访问控制](https://nginx.org/en/docs/http/ngx_http_access_module.html)。
|