Self-Hosted Runner’da Secret ve Ağ Güveni (Self Hosted Runner Sirlar Ag)

Self-Hosted Runner’da Secret ve Ağ Güveni

Kapalı ağ, sonsuz güven demek değildir. Closed-network runners still need isolation: short-lived credentials, no ambient prod mounts, audited secret scopes.

runner isolation · short-lived creds · no prod mount

Kapalı ağ, sonsuz güven demek değildir.

Kavramlar ilk geçtiği yerde

📦 Analysis API
Django üzerinde okuma/analiz uçları — MFE ve control plane tüketicisi.

📦 Closed Network CI
Self-hosted GitLab CE runner’ları ile kapalı ağda pipeline.

📦 Artifact
EC2’ye giden sürümlenmiş deploy paketi.

📦 Continuous Pentest
Pipeline’a gömülü açık kaynak güvenlik taraması (ProjectDiscovery ekosistemi).

Bu katmanları karıştırmak, hem analitikte hem frontend haritada yanlış gerçeğe yol açar.

Problemin şekli

Closed-network runners still need isolation: short-lived credentials, no ambient prod mounts, audited secret scopes.

runner isolation · short-lived creds · no prod mount

Çalışan ayrım

Kapalı ağ, sonsuz güven demek değildir.

runner isolation · short-lived creds · no prod mount
        ↓
   explicit contract → frontend

Frontend ile bağ

Ops haritası, bekleme geofence UI’si ve MFE’ler bu okuma modellerini tüketir; ham ERP/MySQL’e bağlanmaz.

Bu bölümde en çok karışan eşleştirmeler

❌ ERP MySQL = analitik veritabanı
✓ ERP yazma store’udur; analitik PostGIS’te yaşar

❌ Harita doğrudan vendor/public router’a güvensin
✓ Üretimde kendi API/OSRM kenarınız olmalı

❌ ML çıktısı PII ile birlikte loglansın
✓ Değerlendirme ve serving gizlilik sınırına uyar

Kendi sisteminizi denetleme listesi

1. Bu yüzey hangi store’u source of truth sayıyor?
2. Frontend hangi API kontratını çağırıyor?
3. Cluster’da tek node kaybında ne olur?
4. Lag operatöre nasıl gösteriliyor?
5. Deny-list: içerikte müşteri domain/vendor sızıntısı var mı?

Bu bölümden aklında kalması gerekenler

1. Polyglot store’lar farklı iş yükleri içindir; tek DB hayali kırılgandır.
2. Frontend temiz read model tüketir, ERP’yi değil.
3. ML ve OSRM çıktıları API kontratı olmadan haritaya dökülmez.

Kirli kaynaktan çizilen harita, güzel bir yalandır.