Akun Layanan

Fitur ini merupakan bagian dari paket Enterprise dan Enterprise Plus.

Akun layanan adalah identitas yang dimiliki organisasi dan dirancang untuk akses programatik ke sumber daya organisasi Anda, seperti pipeline CI/CD, skrip otomasi, dan integrasi backend. Berbeda dengan akun anggota pribadi, akun layanan tidak terikat pada individu: akun ini dimiliki oleh organisasi dan dikelola oleh administratornya.

Karena akun layanan terpisah dari individu mana pun, akun ini menjaga alur kerja otomatis tetap berjalan meskipun ada anggota yang bergabung atau keluar dari organisasi, dan memungkinkan Anda membatasi cakupan serta memutar ulang kredensial tanpa memengaruhi token pribadi anggota mana pun.

Membuat Akun Layanan

Sebagai administrator organisasi, buka bagian Service Accounts di pengaturan organisasi Anda untuk membuat dan mengelola akun layanan.

Saat membuat akun layanan, Anda menyediakan:

• name untuk mengidentifikasi akun layanan.
• description opsional untuk mendokumentasikan kegunaan akun layanan.

Akun layanan tidak memiliki kata sandi dan tidak dapat masuk secara interaktif — mereka hanya dapat diakses melalui token akses yang Anda terbitkan untuk mereka. Berbeda dengan pengguna biasa, akun layanan juga tidak memiliki halaman profil HF, tidak termasuk dalam daftar anggota organisasi, dan hanya dikelola melalui pengaturan Akun Layanan.

Mengelola Token Akses

Akses akun layanan ke organisasi Anda sepenuhnya didefinisikan oleh token akses bergranularitas halus yang Anda terbitkan untuknya. Untuk setiap token, Anda memilih nama dan seperangkat izin bergranularitas halus, sehingga Anda hanya dapat memberikan akses yang dibutuhkan oleh alur kerja tertentu.

Izin dapat diberikan pada dua tingkat:

• Skala organisasi — menerapkan izin (misalnya, akses baca atau tulis ke konten repositori) di semua repositori dalam organisasi.
• Per-repository — batasi akses baca atau tulis hanya untuk repositori tertentu. Cari dan pilih repositori yang akan diterapkan token tersebut, lalu pilih izin yang akan diberikan. Repositori yang dipilih harus dimiliki oleh organisasi atau bersifat publik.

Hal ini memungkinkan Anda untuk menerbitkan token dengan cakupan yang sempit — misalnya, token yang hanya dapat membaca satu repositori model — alih-alih memberikan akses ke seluruh organisasi.

Dari halaman akun layanan, administrator dapat:

• Buat token akses baru dengan nama yang dipilih dan izin yang terperinci.
• Perbarui nama atau izin token yang sudah ada.
• Putar token untuk menggantinya dengan nilai baru. Token sebelumnya berhenti berfungsi secara langsung, yang berguna jika kredensial mungkin telah terekspos.
• Hapus token untuk mencabut aksesnya secara permanen.

Token akses hanya ditampilkan sekali, pada saat token tersebut dibuat atau dirotasi. Simpan dengan aman — token tidak dapat diambil kembali di kemudian hari. Jika Anda kehilangan token tersebut, rotasikan token untuk menghasilkan nilai baru.

Membuat Kredensial S3

Token akun layanan dapat digunakan untuk mengakses Storage Buckets organisasi Anda melalui S3-compatible API. Gateway melakukan autentikasi dengan kunci akses bergaya AWS yang diturunkan dari token akun layanan.

1. Buka halaman akun layanan. Buat token dengan tombol Buat token baru jika Anda belum memilikinya. Izin token menjadi izin kredensial S3.

2. Cari token dalam daftar, buka menu drop-down-nya, dan pilih Generate S3 credentials.

   

3. Salin access key ID yang dihasilkan (dengan awalan HFAK…) dan secret access key ke tempat yang aman — secret hanya ditampilkan sekali. Jika Anda kehilangannya, gunakan Invalidate and refresh S3 credentials untuk membuat pasangan baru. Access key sebelumnya akan berhenti berfungsi secara langsung.

Kredensial S3 mewarisi izin dari token akses yang mendasarinya. Batasi cakupan token hanya pada bucket yang ingin Anda gunakan.

Gunakan Revoke S3 credentials untuk menonaktifkan pasangan tanpa menghapus token — menghapus token (atau service account) juga akan mencabut kredensial S3-nya. Halaman service account menampilkan access key ID yang saat ini dipasangkan dengan setiap token.

Gunakan nama organisasi Anda sebagai <namespace> dalam URL endpoint (lihat Configuring a Client). Pembuatan dan pencabutan kredensial S3 dicatat dalam Audit Logs organisasi.

Jika token memiliki kekecualian Keamanan Jaringan yang diaktifkan, hanya admin organisasi yang dapat membuat kredensial S3 untuk token tersebut.

Pengecualian Keamanan Jaringan

Opsi ini merupakan bagian dari paket Enterprise Plus.

Jika organisasi Anda menggunakan pengaturan Network Security, token akun layanan tunduk pada pengaturan tersebut seperti kredensial lainnya: token hanya berfungsi dari rentang IP organisasi Anda, dan Content Access Policy berlaku untuk apa yang dapat mereka jangkau.

Beberapa alur kerja otomatis berjalan di luar jaringan perusahaan Anda — misalnya, tugas CI yang dihosting oleh penyedia cloud. Untuk kasus tersebut, Anda dapat mengecualikan token tertentu dari penegakan Network Security organisasi Anda dengan opsi Bypass IP restrictions and the Content Access Policy pada formulir token.

Saat diaktifkan:

• Token berfungsi dari alamat IP mana pun, bahkan ketika Batasi akses organisasi hanya ke rentang IP Anda diaktifkan.
• Token dapat mencapai konten yang seharusnya diblokir oleh Kebijakan Akses Konten organisasi Anda.
• Pengecualian ini hanya berlaku untuk pengaturan Network Security organisasi Anda sendiri. Pengecualian ini tidak pernah melewati kebijakan organisasi lain.
• Token tersebut terdaftar dengan lencana Tanpa pembatasan IP di halaman akun layanan.
• Rotasi token mempertahankan pengecualian.

Hanya admin organisasi yang dapat mengaktifkan pengecualian atau memutar ulang token yang sudah dikecualikan.

Karena token exempt tidak lagi dilindungi oleh perimeter jaringan Anda, token itu sendiri menjadi satu-satunya kredensial yang menjaga sumber daya yang dapat dijangkaunya. Kami merekomendasikan untuk membatasi cakupannya ke set repositori yang paling kecil mungkin, memberikan izin read-only jika itu sudah cukup, dan melakukan rotasi secara berkala.

Penagihan

Akun layanan tidak dihitung sebagai anggota yang dapat ditagih dalam organisasi Anda, sehingga pembuatannya tidak menggunakan kursi berbayar dalam paket Anda.

Update on GitHub