Terraform i infrastruktura jako kod Gdańsk

Skąd bierze się lista dostępów, których nikt nie umie wytłumaczyć

Firma pracująca z jednym systemem ma zwykle jedno połączenie ze światem i pamięta, po co powstało. Firma obsługująca ładunki ma ich kilkanaście, bo każda współpraca zaczyna się od tego samego: druga strona prosi o wpuszczenie ruchu ze swojego adresu, o konto do wymiany plików albo o klucz do interfejsu.

Każda z tych próśb była w swoim momencie uzasadniona. Agent chciał odbierać potwierdzenia, przewoźnik testował nowy sposób awizacji, operator terminalu prosił o dostęp na czas wdrożenia, a producent systemu potrzebował wejścia na maszynę przy uruchomieniu. Wszystkie zostały nadane szybko, bo blokowały konkretną sprawę, i żadna nie dostała daty końca.

Po kilku latach powstaje z tego lista, której nikt nie prowadził. Część wejść obsługuje współpracę trwającą do dziś, część dotyczy firm, z którymi skończyliście dwa lata temu, a przy kilku pozycjach nikt nie potrafi powiedzieć, czyje one są. Nie jest to niczyje zaniedbanie, tylko naturalny skutek tego, że przyznanie dostępu zajmuje kwadrans, a jego zamknięcie wymaga pewności, której nikt nie ma.

Co takie środowisko wpuszcza i na jak długo

Rodzaj wejścia	Kto o nie prosił	Na jak długo miało być	Co robi z nim opis
Ruch z adresu partnera do punktu wymiany	agent albo przewoźnik	na stałe, dopóki trwa współpraca	pozycja z nazwą partnera i datą przeglądu
Konto do wymiany plików	dział operacyjny drugiej strony	na czas jednej umowy	konto z terminem ważności wpisanym przy zakładaniu
Klucz do interfejsu operatora systemu	osoba prowadząca wdrożenie	do zakończenia prób	sekret z odnotowaną datą wydania i wymiany
Wejście serwisowe producenta oprogramowania	wdrożeniowiec przy uruchomieniu	na kilka dni prac	dostęp podnoszony na zadanie, z zapisem powodu
Reguła dodana w czasie awarii	ktoś z Waszej strony, słusznie	do końca zdarzenia	widoczna w najbliższym planie jako różnica
Adres biura wpisany u kontrahenta	Wy, przy pierwszym połączeniu	dopóki nie zmienicie operatora	parametr, a nie wpis rozsiany po konfiguracji

Wiersz czwarty jest tym, który w audycie wypada najgorzej, i jednocześnie tym, o którym najłatwiej zapomnieć. Firma zewnętrzna kończy prace, wystawia fakturę i znika, a jej dostęp pracuje dalej, ponieważ zamknięcie go było czynnością nieprzypisaną nikomu.

Co się dzieje, gdy współpraca się kończy, a wejście zostaje

Dopóki druga strona jest firmą, z którą pracujecie, otwarte połączenie jest zwykłym elementem układu. Sytuacja zmienia się w dniu, w którym umowa wygasa, a nikt nie ma listy rzeczy do zamknięcia. Wejście przestaje być częścią współpracy i staje się otwartymi drzwiami do środowiska, w którym leżą dokumenty innych kontrahentów.

Ryzyko nie polega tu na złej woli, tylko na tym, że zabezpieczenia po drugiej stronie przestają Was obchodzić i przestajecie o nich cokolwiek wiedzieć. Klucz wydany trzy lata temu leży na czyimś serwerze, konto do wymiany plików ma hasło z tamtego okresu, a osoba, która go używała, dawno zmieniła pracodawcę.

Dlatego wejście dostaje u nas trzy rzeczy przy zakładaniu: powód, osobę odpowiedzialną po Waszej stronie i datę kolejnego przeglądu. Żadna z nich nie jest techniczna i właśnie dlatego działa. Pytanie „czy to jeszcze jest potrzebne” przestaje wtedy dotyczyć czyjejś pamięci, a zaczyna dotyczyć wpisu, który ktoś kiedyś podpisał.

Jak wygląda przegląd i kto go prowadzi

Raz na kwartał przechodzimy listę wejść razem z osobą, która po Waszej stronie zna stan współpracy. Nie jest to rozmowa techniczna. Przy każdej pozycji pada jedno pytanie: czy dalej pracujemy z tą firmą i czy zakres wejścia odpowiada temu, co obecnie robi.

Wynikiem są trzy listy. Pierwsza to pozycje bez zmian. Druga to wejścia zawężane, zwykle dlatego, że współpraca objęła inny zakres niż na początku. Trzecia to pozycje do wygaszenia, z terminem, a nie z natychmiastowym skasowaniem, bo doświadczenie mówi, że przy kilku z nich odezwie się ktoś, kogo przy stole nie było.

Zmiany wykonuje potok po zatwierdzeniu planu, więc każda ma autora, datę i zapis przyjęcia. To samo źródło odpowiada później na pytania kontrahentów o kontrolę dostępu, a odpowiedź oparta na historii jest przyjmowana inaczej niż zapewnienie w wiadomości.

Na co idą te dwa dni pracy

Pierwszy ruch to przeniesienie do kodu tego, co pracuje, i doprowadzenie do stanu, w którym plan nie pokazuje żadnej różnicy. Dopóki różnice widnieją, opis jest propozycją, a nie źródłem prawdy. Przy okazji powstaje pełny spis zasobów, w tym pozycji, których nikt nie potrafi przypisać do żadnej współpracy.

Drugi to zebranie wejść w jedno miejsce razem z parametrami: adresami, kontami, kluczami i terminami. Trzeci to moduły na powtarzalne części, czyli przede wszystkim na wejście pojedynczego partnera, bo w takiej firmie powstaje ono najczęściej. Czwarty to wspólny stan zamknięty blokadą i wyprowadzenie kluczy do menedżera sekretów. Ostatni to potok wykonujący przyjęte zmiany, żeby żadna nie startowała z prywatnego komputera.

Kalendarzowo rozkłada się to zwykle na dwa tygodnie, bo między krokami czekamy na potwierdzenia po Waszej stronie. Przerwa w wymianie danych ani okno serwisowe nie są do tego potrzebne.

Kiedy odradzamy tę pracę

Gdy firma ma jedno połączenie ze światem i jednego partnera, bo wtedy lista, która jest tu głównym zyskiem, mieści się w dwóch zdaniach. Gdy środowisko ma zniknąć w ciągu kilku miesięcy, ponieważ trwa przenoszenie go gdzie indziej. Gdy nikt po Waszej stronie nie zamierza czytać planu ani zatwierdzać zmian, a jednocześnie utrzymanie ma zostać wewnątrz firmy.

Nie zgadzamy się także na dopisanie tej pracy do innego zlecenia jako pozycji dodatkowej. Wymaga własnych godzin i własnych prób, a robiona przy okazji traci zgodność ze stanem faktycznym w kilka tygodni, czyli wraca do punktu wyjścia za Wasze pieniądze.

Co zostaje u Was

Repozytorium, moduły, rejestr wejść z terminami, opis uruchomienia środowiska od zera oraz procedura powrotu po nieudanej zmianie. Wszystko powstaje po Waszej stronie od pierwszego dnia, więc kolejny wykonawca zaczyna od czytania plików. Do tego lista dostępów awaryjnych z nazwiskami i zapis pierwszej zmiany przeprowadzonej tą drogą, przez którą przechodzimy razem z osobą mającą zatwierdzać następne.

Bieżące prowadzenie zasobów opisuje administracja chmurą, dzierżawę Microsoftu Azure dla firm, a układ ze stałym punktem wymiany chmura hybrydowa. Programy pracujące na tak opisanych maszynach zamykamy w obrazach, co widać przy konteneryzacji Docker, a przy migracji do chmury pliki opisujące środowisko powstają razem z nim, a nie rok później.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026