Критерии для доступа к пакетам R? - PullRequest
Новая
       75

Критерии для доступа к пакетам R?

1 голос
/ 13 апреля 2020

Как ИТ-администратор, какие критерии мне следует использовать при утверждении пакета R для установки в мою среду?

В настоящее время пользователи RStudio (не ориентированные на ИТ) имеют полный доступ для загрузки и установки любого пакета. , Я понимаю, почему это проблема ... но если я ограничу доступ к пользовательскому белому списку существующих пакетов, пользователи в конечном итоге будут запрашивать новые пакеты, и у меня не будет возможности оценить, подходит ли пакет.

Ответы [ 2 ]

1 голос
/ 13 апреля 2020

У меня нет R-специфика c знаний, но я бы сказал, что, как и любое программное обеспечение, которое пользователи приносят в вашу организацию, вы должны включить некоторую меру "Родословная и потомство"; ie откуда она взялась и имеет ли она хорошую репутацию.

В конечном счете, это должны решать пользователи, запрашивающие программное обеспечение для выполнения работы, поэтому в дополнение к форме запроса я будет включать некоторые вопросы, подобные этому, чтобы подтолкнуть людей к проведению должной осмотрительности:

  • Где находится пакет (откуда вы его скачали)?
  • Это хорошо? -используемый и известный пакет?
  • (вероятно, не относится к R: поддерживается ли проект программного обеспечения и выпускает ли он регулярные исправления безопасности. Существуют ли открытые уязвимости CVE против него?)
  • Если вы не уверены в вышесказанном, открыли ли вы исходный код, чтобы убедиться, что он, кажется, выполняет то, к чему он относится?
1 голос
/ 13 апреля 2020

Это зависит от того, в какой среде работают другие пользователи. Имеют ли ваши обычные пользователи доступ к производственному серверу или они занимаются разработкой на своих локальных машинах? Если у них есть производственный доступ и они там занимаются разработкой, у вас могут возникнуть более серьезные проблемы, связанные с общим управлением изменениями. Более подробная информация о том, кто имеет доступ к тому, что может помочь нам дать более подробный ответ.

В общем, хорошо иметь процесс одобрения или документацию для любых упаковок, используемых в производстве; таким образом, если вы столкнетесь с проблемами позже, вы сможете определить последнее внесенное изменение (например, конфликты plyr и dplyr, нарушающие сценарии).

Процесс утверждения может быть простым:

  • Дата запроса
  • Имя индивидуального запроса
  • Запрошен новый пакет (имя и версия )
  • Назначение нового пакета
  • Любая другая важная информация

Как администратор, если вы доверяете пользователям, вы можете просто выйти из системы по запросу и установить пакет (или пусть они его установят). Чтобы добавить еще один уровень безопасности, вы можете погуглить пакет и убедиться, что он git, прежде чем подписывать его.

Вы также можете пойти по пути ограничения загрузки пакетов в репозиторий CRAN. Это не идеально, но вы полагаетесь на чуть более курируемый список.

...