W monday.com bezpieczeństwo jest najwyższym priorytetem. Chcemy mieć pewność, że możesz bez obaw tworzyć z nami swoje przepływy pracy. W tym artykule znajdziesz odpowiedzi na często zadawane pytania dotyczące bezpieczeństwa i wdrażania integracji z Jira Cloud i Jira Server.

Podstawy

Kto jest twórcą integracji z Jira?

Twórcą integracji z Jira (zarówno z Jira Cloud, jak i Jira Server) jest monday.com.

Która strona inicjuje wymagane połączenie sieciowe?

To my inicjujemy połączenie, ale obie strony muszą w nim uczestniczyć, aby zostało nawiązane pomyślnie.

Uwierzytelnianie

Jak działa uwierzytelnianie w tej usłudze?

Uwierzytelnianie odbywa się za pomocą tokena. Użytkownik wprowadza dane logowania do Jira w monday.com, a od tego momentu komunikacja między obiema stronami odbywa się za pomocą tokena dostępu.

Czy w przypadku Jira Server monday.com udostępnia agenta binarnego, którego można zainstalować w naszej sieci, aby automatycznie zarządzał komponentami bezpieczeństwa?

Nie. Konfiguracja Jira Server opiera się na standardowej komunikacji HTTPS. Wszelkie dodatkowe filtrowanie ruchu należy skonfigurować w zaporze sieciowej użytkownika.

Czy do rejestrowania zdarzeń używacie CAL, czy wdrożyliście własny system?

Wdrożyliśmy rozwiązanie SIEM, do którego przesyłamy dzienniki z naszego NIDS, dzienniki ruchu z lokalizacji brzegowych oraz ogólne dzienniki uwierzytelniania i autoryzacji - zarówno z samej aplikacji, jak i z zasobów infrastruktury. Zespół zarządzanego SOC regularnie analizuje zdarzenia związane z bezpieczeństwem i reaguje na nie zgodnie z ich poziomem istotności.

Jak skonfigurować integrację z Jira Server, jeśli nasza instancja Jira znajduje się za zaporą sieciową lub VPN?

Aby zintegrować się z Jira Server lub dowolną usługą strony trzeciej, dostęp z internetu musi być możliwy w pewnym zakresie.

Ponadto, aby integracja działała, należy odblokować w zaporze sieciowej lub VPN następujące zakresy adresów IP:

• 82.115.214.0 / 24
• Tego zakresu (obejmującego 256 publicznych adresów od 82.115.214.0 do 82.115.214.255) używamy do wysyłania danych do klientów przez naszą sieć egress (ruch wychodzący). Ten zakres należy dodać do listy dozwolonych, aby akceptować połączenia przychodzące z naszej infrastruktury.
• Nie ma możliwości dodania do listy dozwolonych naszych adresów IP ingress (ruch przychodzący), używanych do odbierania danych od klientów (na przykład podczas wywoływania naszych interfejsów API), ponieważ jako dostawcy sieci brzegowej używamy Cloudfare, które może w dowolnym momencie zmienić adresy IP. W większości przypadków nie powinno to stanowić problemu.

Uprawnienia

Dlaczego wymagane są uprawnienia administratora globalnego?

Używamy interfejsu REST API Jira do tworzenia webhooków. W tym celu użyte dane logowania muszą należeć do administratora Jira z uprawnieniami globalnymi.

Jakie zabezpieczenia są stosowane?

• Jira Cloud: W komunikacji wychodzącej między monday.com a aplikacją strony trzeciej nie stosujemy żadnych dodatkowych mechanizmów kontroli. Dane przychodzące są szyfrowane przy użyciu protokołu TLS 1.2.
• Jira Server: W przypadku Jira Server zabezpieczenia zależą od lokalnego serwera i osoby, która konfiguruje integrację. Jeśli klient wpisze podstawowy adres URL korzystający z protokołu HTTP zamiast HTTPS, komunikacja nie będzie szyfrowana podczas przesyłania. Jeśli używa protokołu HTTPS (SSL) z ważnym, zaufanym certyfikatem, dane będą szyfrowane podczas przesyłania.

Czy aplikacja/API Jira Server jest dostępna wyłącznie wewnętrznie, czy jest bezpośrednio udostępniona w internecie?

monday.com jest dostępny z dowolnego miejsca i udostępniony w internecie. Serwer Jira nie jest, ponieważ jest instancją lokalną. Aby więc te dwa systemy mogły ze sobą współpracować, należy zezwolić na żądania z monday.com (spoza sieci lokalnej) do Twojego serwera.

Przesyłanie i przechowywanie danych

Jakie dane są przesyłane?

Przesyłane dane zależą od mapowania określonego przez użytkownika podczas konfiguracji integracji. Zakresy po stronie Jira obejmują zgłoszenia i projekty, a po naszej stronie - elementy.

Do jakich danych mamy dostęp i co możemy z nimi robić (odczyt czy zapis)?

Odpowiedź zależy od zakresów tokena API:

• Integracja z Jira korzysta z tokena, a nie z OAuth 2.0. Oznacza to, że nie prosimy o określone zakresy uprawnień. Ani monday.com, ani użytkownik nie mogą kontrolować zakresów tokena API - zależą one od ustawień Jira. Oznacza to, że jeśli po uwierzytelnieniu zmienią się niektóre uprawnienia, nie mamy nad tym kontroli. Dotyczy to zarówno dodawania nowych możliwości API, jak i ich usuwania.
• Dokumentacja: https://support.atlassian.com/atlassian-account/docs/manage-api-tokens-for-your-atlassian-account/
• Pamiętając o powyższym, monday.com uzyskuje dostęp wyłącznie do danych wymaganych w przepisie. Za każdym razem, gdy integracja zostanie uruchomiona, będzie pobierać tylko dane niezbędne do ukończenia danego przebiegu. Nie wykonujemy zbędnych wywołań API, aby pobierać nieużywane dane.