Evergreen: Cách GitHub tự động hóa quyền truy cập an toàn và dọn dẹp kho lưu trữ

Làm việc với cộng tác viên bên ngoài luôn phát sinh thêm khối lượng công việc cho chủ sở hữu kho lưu trữ. Bạn phải liên tục xác nhận ai còn cần quyền truy cập, điều chỉnh quyền hạn khi dự án thay đổi, và lưu trữ những kho lưu trữ đã hoàn thành sứ mệnh. Khi dự án phình to, việc dọn dẹp thủ công này ngày càng khó theo kịp và dễ bị trì hoãn.

GitHub đã giải quyết bài toán này bằng Evergreen — một GitHub App được xây dựng hoàn toàn từ các tính năng gốc của nền tảng. Đây là mô hình mà bất kỳ tổ chức nào cũng có thể áp dụng cho riêng mình.

Evergreen là gì?

Evergreen là một GitHub App tự động hóa việc "giữ gìn vệ sinh" cho tổ chức thông qua hai quy trình chính:

• Rà soát quyền truy cập của cộng tác viên bên ngoài. Mỗi quý, cộng tác viên bên ngoài của từng kho lưu trữ sẽ được rà soát lại. Ai cần thì giữ, còn lại đều bị gỡ bỏ.
• Phát hiện và lưu trữ kho lưu trữ cũ. Những kho lưu trữ không có hoạt động của con người sau một ngưỡng thời gian sẽ bị gắn cờ, cảnh báo, và cuối cùng là lưu trữ nếu vẫn không có thay đổi.

Hai nguyên tắc thiết kế định hình toàn bộ hệ thống:

An toàn là mặc định. Nếu không ai phản hồi yêu cầu rà soát quyền truy cập, Evergreen sẽ thu hồi quyền chứ không để nguyên với hy vọng may mắn.

Không bao giờ phá hủy bất cứ thứ gì. Evergreen không bao giờ xóa kho lưu trữ hay nội dung bên trong. Kho lưu trữ vẫn có thể khôi phục, và mọi thay đổi quyền truy cập đều được ghi lại để việc hoàn tác chỉ đơn giản như sao chép – dán vào Copilot.

Cơ chế hoạt động: Một bộ não, nhiều cánh tay

Sơ đồ kiến trúc Evergreen với GitHub App, scheduled actions và webhooks

Về bản chất, Evergreen chỉ là một webhook server nhỏ viết bằng Go, chạy trong container. Nhưng phần thú vị nằm ở sự phối hợp nhịp nhàng giữa các thành phần. Mọi mảnh ghép đều là tính năng có sẵn của GitHub: GitHub App, scheduled actions, webhooks, issues, custom properties, và các tệp JSON đơn giản trong kho lưu trữ. Không có gì kỳ lạ cần phải phát minh lại.

Bộ điều khiển giữ nhịp thời gian

Một kho lưu trữ điều khiển chuyên dụng đóng vai trò như đồng hồ và bộ nhớ của Evergreen. Bốn scheduled workflows của GitHub Actions sẽ kích hoạt repository_dispatch theo chu kỳ hàng quý:

• Ngày 1: Rà soát kho lưu trữ cũ — gắn cờ những kho lưu trữ không có hoạt động gần đây, mở issue cảnh báo.
• Ngày 8: Rà soát quyền truy cập — chụp ảnh trạng thái cộng tác viên bên ngoài, mở issue checklist cho từng kho lưu trữ.
• Ngày 16: Dọn dẹp kho lưu trữ cũ — lưu trữ những kho vẫn còn "cũ" sau thời gian ân hạn.
• Ngày 23: Dọn dẹp quyền truy cập — tự động thu hồi quyền với mọi rà soát chưa được phản hồi.

Trạng thái có thể truy vết bằng git blame

Evergreen theo dõi trạng thái của từng kho lưu trữ dưới dạng tệp JSON (mỗi kho một tệp) được commit vào kho điều khiển tại thư mục state/repos/. Ảnh chụp ai từng có quyền truy cập, thời điểm rà soát mở, hạn chót, người quyết định và kết quả — tất cả đều nằm ở đó.

Điểm tuyệt vời nhất: vì trạng thái chỉ là các tệp trong git, lịch sử commit chính là dấu vết kiểm toán. Muốn biết vì sao ai đó mất quyền truy cập mùa xuân năm ngoái? Chỉ cần git log tệp trạng thái. Không cần cơ sở dữ liệu riêng hay pipeline kiểm toán đặc thù nào.

Điều khiển bằng Issues — ở mọi nơi cần thiết

Giao diện checklist issue rà soát quyền truy cập của Evergreen

Evergreen "giao tiếp" thông qua issues ngay trong từng kho lưu trữ. Khi một đợt rà soát quyền truy cập bắt đầu, mỗi kho lưu trữ sẽ nhận được một issue dạng checklist.

Mô hình tương tác đơn giản đến bất ngờ: tích vào ô của những người được giữ lại, rồi đóng issue. Thế là xong. Khi issue đóng lại, Evergreen lắng nghe sự kiện webhook issues.closed, đọc các ô checkbox, giữ lại cộng tác viên được tích và thu hồi phần còn lại, sau đó đăng một bình luận "biên nhận" liệt kê chính xác những gì được giữ và những gì bị gỡ.

Chỉ đúng người mới kéo được cần gạt

Đóng một issue rà soát quyền truy cập là hành động đặc quyền, nên Evergreen bảo vệ nó. Nếu ai đó không thuộc nhóm Hubber (nhân viên GitHub) đóng issue, ứng dụng sẽ lặng lẽ mở lại và đăng ghi chú giải thích lý do. Quyết định chỉ được tính khi đến từ những người có thẩm quyền.

Thông báo đúng người, đúng việc

Một vấn đề tinh tế: chúng tôi biết người cần phản hồi rà soát là các Hubber, nhưng không phải lúc nào cũng biết Hubber nào sở hữu kho lưu trữ cụ thể. Evergreen giải quyết bằng chuỗi dự phòng:

• Nếu kho lưu trữ đặt custom property evergreen_repo_owner (dạng @user hoặc @org/team), dùng ngay giá trị đó.
• Nếu không, hệ thống xem xét các tác giả issue và commit gần đây, rồi cc những người thuộc nhóm rà soát quyền truy cập.

Kết quả: chủ sở hữu đúng được thông báo tự động, không cần ai duy trì bảng tính "ai sở hữu cái gì".

Thất bại theo hướng an toàn

Khi hạn chót rà soát trôi qua mà không có phản hồi, bước dọn dẹp sẽ thu hồi mọi cộng tác viên trong ảnh chụp. Evergreen xử lý một tình huống biên tế nhị: nếu một số lần gỡ thành công còn số khác gặp lỗi API tạm thời thì sao? Đánh dấu rà soát "hoàn tất" trong khi vẫn còn lần gỡ dang dở sẽ tạo ra sự bất nhất âm thầm.

Vì vậy Evergreen thất bại theo hướng đóng. Nếu bất kỳ lần gỡ nào thất bại, rà soát vẫn ở trạng thái chờ, issue vẫn mở, và lần chạy tiếp theo sẽ thử lại những trường hợp còn sót. Chỉ khi mọi lần gỡ đều thành công thì mới ghi nhận "đã thu hồi". Mọi thứ bị gỡ đều được ghi vào issue, nên khôi phục quyền truy cập chỉ là thêm lại các tài khoản đã được liệt kê.

Trải nghiệm người dùng: Tự động hóa nhưng tinh tế

Tự động hóa dọn dẹp thường bị mang tiếng như chuông báo cháy văn phòng: ồn ào, dễ phớt lờ, và thường kêu khi bạn đang nấu ăn ngon lành. Evergreen được thiết kế để ngược lại:

• Chủ động đến với bạn. Công việc diễn ra dưới dạng issue ngay trong kho lưu trữ của bạn.
• Gắn thẻ đúng người. Không cần "khảo cổ" xem ai sở hữu.
• Yêu cầu rõ ràng. Mỗi issue nêu rõ việc cần làm, hạn chót chính xác, và hậu quả nếu phớt lờ.
• Nhắc trước khi hành động. Một bình luận nhắc nhở xuất hiện trước hạn chót — không có việc thu hồi bất ngờ.
• Có lối thoát. Chủ sở hữu tổ chức có thể chọn không tham gia bằng custom property evergreen_exempt_from_access_review hoặc evergreen_exempt_from_archive.

Triển khai cẩn trọng

Tự động hóa quản lý quyền truy cập và lưu trữ kho lưu trữ cần được triển khai dè dặt, đặc biệt trong một tổ chức lớn với hơn 1.400 Hubber cùng nhiều khách hàng và đối tác. Một vài thực hành đã giúp ích:

• Chạy thử trước. Evergreen có chế độ DRY_RUN ghi log mọi thao tác ghi mà không chạm vào bất kỳ cộng tác viên hay kho lưu trữ nào.
• Truyền thông quá mức cần thiết. Trước khi bật công tắc, thông báo rộng rãi về những gì sắp diễn ra, khi nào và mọi người cần làm gì.
• Giám sát mọi thứ bằng Splunk. Evergreen phát log có cấu trúc logfmt tới một Splunk index riêng, giúp phát hiện các trường hợp biên trước khi chúng thành vấn đề.
• Tôn trọng giới hạn của nền tảng. Khi mở issue và đăng bình luận khắp mọi kho lưu trữ trong tổ chức lớn, bạn sẽ đụng phải giới hạn tốc độ thứ cấp của GitHub: 80 request/phút và 500/giờ. Evergreen tự điều tiết bằng cách xử lý theo lô và giãn cách các lệnh gọi.

Những bài học mang theo

1. Biến con đường an toàn thành mặc định. Thất bại theo hướng an toàn, rồi làm cho việc phản hồi trở nên dễ dàng đến mức hiếm khi phải kích hoạt cơ chế an toàn đó.
2. Dùng những nguyên hàm bạn đã có. Issues, webhooks, custom properties và lịch sử git đảm nhiệm vai trò của một giao diện tùy chỉnh, hàng đợi công việc và cơ sở dữ liệu kiểm toán.
3. Gặp mọi người ở nơi họ làm việc. Một issue trong kho lưu trữ tốt hơn một dashboard bạn sẽ chẳng bao giờ mở.
4. Log chính là nút hoàn tác. Ghi mọi thay đổi vào issue biến "ối" thành "dán ba tài khoản này vào Copilot".
5. Tôn trọng giới hạn. Ở quy mô tổ chức, giới hạn tốc độ không phải trường hợp biên — nó là ràng buộc thiết kế.

Giữ tổ chức luôn "xanh tươi"

Dọn dẹp định kỳ là loại công việc dễ bị trì hoãn và hoàn hảo để tự động hóa. Bí quyết không nằm ở những đợt dọn dẹp anh hùng, mà ở việc làm cho những công việc nhàm chán, an toàn diễn ra theo lịch trình — với một giao diện thân thiện và một nút hoàn tác.

Đó chính là Evergreen. Và vì được xây dựng hoàn toàn từ các tính năng gốc của GitHub, bạn hoàn toàn có thể dựng nên mô hình tương tự cho tổ chức của mình. Hãy bắt đầu với một tác vụ định kỳ duy nhất — rà soát quyền truy cập hoặc lưu trữ — rồi dùng GitHub Apps, Actions, Issues và custom properties để tự động hóa vấn đề đó.