コミットの調査

概要

ユーザーから、誤った、もしくは不明なユーザーやメールアドレスからのコミットがあるとの問い合わせが時々あります。

これが（よくある）設定ミスによるものか、本当のセキュリティインシデントなのかを特定することは Support の責務の一部です。

コミットしたユーザーを見つける

Kibana の使い方全般については、500 エラーのワークフロー を参照してください。

コミットを行ったユーザーを見つけるには:

1. sidekiq ログを開きます。
2. コミット SHA を検索します。
3. オプションで、プロジェクトパスを json.meta.project として追加します。
4. insertId と json.args の下に SHA があるエントリを探します。
5. json.meta.user がコミットを push した GitLab ユーザー名を示しています。

ログが Kibana で利用できない場合（7 日より古い）、プロジェクトのアクティビティページで SHA を検索してみてください。それでも見つからない場合は、サポートを得るために Slack の #security に投稿してください。

認可の確認

検索結果に基づいて、ユーザーがプロジェクトへのアクセス権を持っているかを確認します。

権限を持っている場合は、コミットしたユーザーが誰かをお客様に明確に伝え、ユーザーに gitconfig の名前とメールアドレスを再確認してもらうよう返答します。

権限を持っていない場合は、さらなる調査のために secops の Issue を作成してください。

ページのソースコードを見る - ページの編集 - please contribute.