enterprise

在企業裡面管理密碼的選擇

在「Ask HN: How to store and share passwords in a company?」這邊看到的討論串，翻了討論後發現算是在 Hacker News 上面有共識的。

能夠掛上 SSO 管理的儘量用 SSO，不能的就用雲端提供的服務來管理密碼，甚至把 MFA (2FA) 也包進去。這邊常見的選擇有 1Password 或是 LastPass 可以用。

我記得 Okta 也有類似的方案，但以前接觸的時候因為有 minimal order 的問題 (因為是透過業務)，不適合小單位，不確定現在有沒有改變...

可以改程式碼的軟體

把服務分成兩種，第一種是程式碼在自己手上的 (自己開發的，或是手上有 source code 類的軟體)，這種可以修改程式碼配合的，花時間接到公司的認證系統上面 (最好是 SSO，避免經手密碼，次好是 LDAP/AD)。

無法改程式碼的軟體 (包括外部服務)

另外一種是程式碼不在自己手上的，像是套裝軟體或是雲端服務的，這邊又分成幾種方法處理，一種是 OAuth2 Proxy 這樣的 reverse proxy 軟體，可以在前面擋各家的 SSO (像是常見的 Google 的企業版服務 Google Workspace)，然後在兩邊都用 access log 記錄 (記得把 username 一起記起來)，算是比較基本的方式。

另外一種情境是雲端服務，像是有些服務不支援多帳號管理，就用上面提到的 Enterprise Password Manager 統一管理密碼，然後搭配 HR 的離職流程在離職時換密碼，另外定時也換密碼。

我記得七八年前在 104 的時候有廠商推銷過可以自動幫你換密碼的方案 (有支援 password changing protocol 的可以直接換，沒有支援的就是模擬瀏覽器用 web scraping 的方法換)，但一時間忘記產品名稱了...

附加價值 (?)

另外一種跟密碼管理比較無關，但還是可以提的是，遇到開 SSO 會變得很貴的服務 (也被稱為 SSO tax，像是「The SSO Wall of Shame」這邊列出來的服務)，而且不需要分別帳號時，這時候可以拿 Enterprise Password Manager 出來對付...

Slack 要拿使用者資料訓練 AI

在「Slack AI Training with Customer Data (slack.com)」這邊看到的，原公告在「Privacy Principles: Search, Learning and Artificial Intelligence」這邊。

預設會被丟進去訓練，Opt-out 無法直接設定，需要透過 e-mail 寫信找 feedback@slack.com (yeah，dark pattern)：

Contact us to opt out. If you want to exclude your Customer Data from Slack global models, you can opt out. To opt out, please have your Org or Workspace Owners or Primary Owner contact our Customer Experience team at feedback@slack.com with your Workspace/Org URL and the subject line “Slack Global model opt-out request.” We will process your request and respond once the opt out has been completed.

拿企業資料來搞事嗎... 這應該已經不只是 privacy 議題而是 security 層面了，PR 層面鐵定很難看，來看後面會不會轉彎？

AlmaLinux 放棄 1:1 clone RHEL

上個禮拜的資訊了 AlmaLinux 最後決定放棄 clone RHEL：「The Future of AlmaLinux is Bright」。

After much discussion, the AlmaLinux OS Foundation board today has decided to drop the aim to be 1:1 with RHEL. AlmaLinux OS will instead aim to be Application Binary Interface (ABI) compatible*.

這樣在市場上有 Rocky Linux 與 SUSE 也打算要搞自己的 RHEL clone 的前提下，沒有使用 AlmaLinux 的誘因，標題說的 bright 就是講講而已。

SUSE 參戰：SUSE 宣佈投入 RHEL clone

Hacker News 上看到「SUSE is forking RHEL (suse.com)」這個，原文的確就是 SUSE 決定參戰，跳進去 clone RHEL：「SUSE Preserves Choice in Enterprise Linux by Forking RHEL with a $10+ Million Investment」。

第一段把重點講完了，手上自己有 SUSE Linux Enterprise 的 SUSE 決定要維護一套 RHEL clone：

Today SUSE, the company behind Rancher, NeuVector, and SUSE Linux Enterprise (SLE) and a global leader in enterprise open source solutions, announced it is forking publicly available Red Hat Enterprise Linux (RHEL) and will develop and maintain a RHEL-compatible distribution available to all without restrictions. Over the next few years, SUSE plans to invest more than $10 million into this project.

然後 Hacker News 討論裡面看到這個資訊頗有趣：SUSE 的 CEO Dirk-Peter van Leeuwen 才來三個月，先前在 Red Hat 待了十八年：

> Dirk-Peter van Leeuwen, CEO of SUSE, said,

According to LinkedIn Dirk-Peter started at Suse 3 months ago as CEO and worked for Red Hat for 18 years and was a Senior VP at Red Hat.

I think this move of Suse could be a credible threat to IBM / Red Hat's RHEL.

看 LinkedIn 上的經歷，應該算是純業務出身... 這算是什麼操作？

Rocky Linux 提出兩個方法取得 RHEL 的 source code

在「AlmaLinux 與 Rocky Linux 看起來都暫時無解」這邊提到了檯面上目前沒有好方法穩定取得 source code 後，Rocky Linux 提出了兩個方法，在不需要同意 RHEL 的條款下取得 RHEL 的 source code：「Keeping Open Source Open」。

中間還有一些小插曲可以提一下，在社群不少抗議聲後，IBM & Red Hat 的 VP 出來直接說他們認為 RHEL rebuild 沒有任何價值，而且是故意讓 rebuilder 更難實作 RHEL rebuild：「Red Hat’s commitment to open source: A response to the git.centos.org changes」。

Ultimately, we do not find value in a RHEL rebuild and we are not under any obligation to make things easier for rebuilders; this is our call to make.

回到 Rocky Linux 的文章，他們提出來的兩個方法都是基於 GPL 的重要性質：如果你可以合法拿到 binary，那麼散佈者就有義務要提供 source code。

第一個方法是透過 RHEL 目前公開提供的 container image：

One option is through the usage of UBI container images which are based on RHEL and available from multiple online sources (including Docker Hub). Using the UBI image, it is easily possible to obtain Red Hat sources reliably and unencumbered. We have validated this through OCI (Open Container Initiative) containers and it works exactly as expected.

另外一種方式是透過雲端服務的 cloud instance 跑 RHEL：

Another method that we will leverage is pay-per-use public cloud instances. With this, anyone can spin up RHEL images in the cloud and thus obtain the source code for all packages and errata. This is the easiest for us to scale as we can do all of this through CI pipelines, spinning up cloud images to obtain the sources via DNF, and post to our Git repositories automatically.

這兩個方法都不需要同意 RHEL 目前在網站上的 TOS 與 EULA，而且短時間內應該不好防堵：前者要關掉的話，應該有一堆既有 RHEL 客戶在用會直接抱怨，真的要硬幹的話得給這些客戶時間從 public repository 轉移到要認證的 repository 上；而後者要堵的話，除非 IBM & Red Hat 決定直接不做雲端生意？

看起來 Rocky Linux 與 AlmaLinux 用這套方法可以撐一陣子，直到 IBM & Red Hat 想出新方法來搞？

AlmaLinux 與 Rocky Linux 看起來都暫時無解

昨天提到的「IBM 決定停止公開發布 RHEL 的 source code」有了另外一邊的說明了：

如同 AlmaLinux 所說的，重新散佈程式碼是受限的：

Unfortunately the way we understand it today, Red Hat’s user interface agreements indicate that re-publishing sources acquired through the customer portal would be a violation of those agreements.

所以目前 AlmaLinux 的意思是沒有什麼好解法，而 Rocky Linux 的公告文章只有幹話，沒有實質內容。

但我猜既有的客戶裡面有不受這個條款影響的族群，像是直接跟 IBM 談授權合約的公司，有可能會有排除單方面修改授權的條款，這個應該會是目前 RHEL 8/9 的破口，但後續再釋出的版本應該會被 IBM 的法務給補上？

Tailscale 放鬆免費版的使用限制，以及商業版的計算方式

昨天在 Hacker News 上注意到的：「Changes to Tailscale Pricing and Plans (tailscale.com)」，Tailscale 宣佈了新的免費與收費方式 (直接叫做 Pricing v3)：「Pricing v3, plans, packages, and debugging」。

這次有許多改變，首先是免費版本來只能一個使用者使用，現在變成三個使用者可以在同一個 tailnet 裡面，這對於超級早期的 startup 方便不少，另外家庭用戶也可以受益。

另外一個是擴大「免費」的定義，本來的「免費」只有在完全免費的方案裡面用，一個人是免費，但五個人會收五個人的費用；現在變成「既然在 Pricing v3 我說三個人以下免費，那五個人的方案裡面還是有三個免費的名額，我就只收額外的兩個人的費用」，而且只有 active user 才會收：

That is, if you have a 5-person team at work, the first three are still free. You’d pay for only the 2 additional users (and only if they’re active, more on that below).

然後是拔掉限制 (包括「No more limits on subnet routers」與「No more limits on admin accounts」)，以及放鬆限制 (包括「More free nodes, and twice as many nodes per user」)。

所以看起來 Tailscale 現在的策略是成長，趁這波調價時做了一波 PR...

AWS Support 整合到 Slack 頻道內

在「New – AWS Support App in Slack to Manage Support Cases」這邊看到的新功能，主要是下面這張圖，看起來可以直接在 Slack 上面開 private channel 跟 AWS Support 成員討論事情：

依照說明，有 Business 以上的等級都可以用：

The AWS Support App in Slack is now available to all customers with Business, Enterprise On-ramp, or Enterprise Support at no additional charge.

雖然好像不是哪麼常跟 AWS 的人打交道，但平常先掛起來好像不錯...

Slack 宣佈漲價

Slack 宣佈了漲價的計畫：「Everything you need to know about our first price change and plan updates」。

從今年九月開始漲價，Pro 的月費從 US$8 漲到 US$8.75 (+9.375%)，年費從 US$80 漲到 US$87 (+8.75%)：

On September 1, 2022, monthly Pro plans will increase from $8 USD to $8.75 USD per user per month, and annual Pro plans will increase from $6.67 USD to $7.25 USD per user per month (pricing for other countries is available here).

現有用戶有一次用原價 renew 一年的機會：

Current customers on an annual Pro plan can lock in the existing annual rate of $6.67 USD per user per month for another year by early-renewing the annual Pro plan before September 1.

看起來八月底得來刷一下了...

Rocky Linux 8.4 推出了...

用來替代 CentOS 的 Rocky Linux 8.4 推出了：「Rocky Linux 8.4 GA Available Now」，可以在 Downloads 這個頁面下載。

一般 HTTPS 下載可以看到透過 Fastly 的 CDN，雖然台灣沒有 PoP，但拉了一下看起來還是夠快 (即使是晚上時間)，台北市家裡的 HiNet 1G/600M 可以跑到 56.1MB/sec，新莊家裡的 300M/100M 則是 11.8MB/sec，都是走 IPv6，雖然沒滿速但這個速度算快了，畢竟要跨國塞...

如果真的要快的話 (畢竟 x86_64 的 image 要 9GB)，透過 BitTorrent 下載的速度會快不少，至少我是可以跑滿 HiNet 上 1G 與 300M 的下載...

另外一個加速的方式是平行下載，像是透過 AXEL 這種工具：

axel -c 4 https://download.rockylinux.org/pub/rocky/8/isos/x86_64/Rocky-8.4-x86_64-minimal.iso

官方有提供 migration tool，可以讓使用者從 CentOS 轉移到 Rocky Linux，對於不方便或是不想要重灌的使用者提供另外一種選擇：「migrate2rocky -- Conversion Script」。