13 — Repository-Verwaltung und Sicherheit

Dieses Kapitel behandelt den Reiter Einstellungen: wer was darf, was geschützt ist und wie der Lebenszyklus eines Repositories aussieht.

Mitarbeiter und Rechte

Personen fügen Sie unter Einstellungen → Mitarbeiter hinzu:

In Organisations-Repositories vergeben Sie Rechte besser an ein Team als an einzelne Personen; bei Wechseln pflegen Sie nur eine Stelle.

main schützen

Einstellungen → Branches → Regel hinzufügen — empfohlen, sobald mehr als eine Person im Repository arbeitet:

• Direkte Pushes sperren — jede Änderung läuft über einen Pull Request.
• Freigaben verlangen — mindestens eine Review vor dem Merge.
• Force-Push sperren — die Historie kann nicht umgeschrieben werden.
• Statusprüfungen — kein Merge, solange Actions nicht grün sind (Kapitel 12).

Sichtbarkeit und Lebenszyklus

• Sichtbarkeit — jederzeit zwischen Öffentlich und Privat umschaltbar.
• Umbenennen — die alte Adresse bricht; geteilte Links aktualisieren.
• Besitz übertragen — das Repository zu einer anderen Person oder Organisation verschieben.
• Archivieren — das Repository wird schreibgeschützt; so friert man ein, statt zu löschen.
• Löschen — in der Gefahrenzone, verlangt das Eintippen des Namens und ist endgültig.

Im Zweifel nicht löschen, sondern archivieren.

Webhooks

Einstellungen → Webhooks schickt bei Ereignissen (Commit, Issue, Pull Request) JSON an eine Adresse Ihrer Wahl. Nützlich für Chat-Benachrichtigungen oder um ein eigenes Deployment-Skript auszulösen. Jeder Webhook führt ein Protokoll der letzten Zustellungen — dort schauen Sie bei der Fehlersuche nach.

Deploy-Keys

Wenn ein Server das Repository nur lesen muss, geben Sie ihm nicht Ihren persönlichen SSH-Schlüssel: Legen Sie unter Einstellungen → Deploy-Keys einen repository-spezifischen, schreibgeschützten Schlüssel an. Selbst wenn dieser Server kompromittiert wird, bleibt der Schaden auf ein Repository begrenzt.

Ihre Tokens und Schlüssel

• Avatar → Einstellungen → Anwendungen — Tokens erzeugen und widerrufen (Kapitel 10).
• Avatar → Einstellungen → SSH-Schlüssel — die Rechner, die Sie nutzen.
• Löschen Sie ungenutzte Tokens und Schlüssel alter Rechner; genau dort entsteht Ihre Angriffsfläche.
• Kontopasswort, Zwei-Faktor-Authentisierung und Sitzungen liegen auf der Seite der KabaForce-ID (Kapitel 01).

Gute Gewohnheiten

• Geheimnisse gehören nie ins Repository; ist doch eines hineingerutscht, ändern Sie das Geheimnis selbst (Kapitel 08).
• Denken Sie an die Historie, bevor Sie ein privates Repository öffentlich machen — alte Commits werden mit sichtbar.
• Entziehen Sie ausscheidenden Personen Mitarbeiterrechte und Tokens noch am selben Tag.