Superuser Gateway: Guardrails for Privileged Command Execution

Uber · 2026 · 3. Quy mô lớn · Độ khó: Dễ — bài gốc

Bối cảnh

Data platform của Uber dùng GCS, OCI và HDFS. Một nhóm nhỏ engineer thỉnh thoảng cần quyền superuser để chuyển dữ liệu, sửa quyền, dọn đường dẫn hỏng, gỡ sự cố gấp; chính các lệnh đó có bán kính ảnh hưởng lớn nhất (một hdfs dfs -rm -r hay chmod -R sai cờ có thể xoá dataset production hay khoá cả tổ chức khỏi bảng quan trọng).
Luồng cũ: engineer tự nhận danh tính superuser, chạy lệnh từ CLI trên máy mình, rồi đăng xuất. Không có rào chắn ở mức lệnh; audit log ghi principal superuser chứ không ghi người, muốn biết ai phải đối chiếu log đăng nhập với log lệnh; chạy tại máy nên không có chỗ tập trung để đảm bảo dùng đúng mục đích; không có peer review. Nhưng không thể bỏ hẳn quyền này: on-call cần sửa dữ liệu nhanh.

Superuser Gateway: engineer gửi lệnh bằng superuser-cli (vẫn là lệnh HDFS quen thuộc, hoặc một script); CLI không chạy mà tạo PR trong một repo riêng; CI chạy kiểm tự động trên PR; một engineer khác review và approve; dịch vụ backend kiểm PR đã được duyệt và người gửi có quyền dùng gateway, rồi tự xác thực tới HDFS/GCS/OCI, chạy lệnh trong môi trường kiểm soát và stream kết quả về.
Kiểm tự động: cú pháp từng dòng; quyền của người yêu cầu theo chính sách nội bộ; ước lượng tác động khi được (ví dụ với rm -r).
Bỏ quyền superuser khỏi từng engineer: chỉ backend giữ credential, nên không có cách đi vòng qua bước duyệt.
Giảm ma sát: chỉ áp cho lệnh ghi rủi ro; lệnh chỉ đọc để điều tra có đường riêng ít ma sát hơn; đang thử AI review để giảm thời gian chờ.
Chọn Git thay vì DB: đã có sẵn trải nghiệm đăng và review (bình luận, duyệt, lịch sử), tích hợp CI, dễ xem lại các yêu cầu cũ.
Kết quả: từ cuối 2025 mọi admin engineer đã chuyển sang luồng này, hàng trăm lệnh đã chạy qua dịch vụ. Hướng tiếp: mở rộng sang các hệ có quyền đặc biệt khác, phân tích tĩnh sâu hơn để ước lượng tác động chính xác hơn.

Theo Uber, quyền đặc biệt là cần để giữ hệ khoẻ, nhưng không cần phải trả giá bằng an toàn: chuyển lệnh nguy hiểm qua review và kiểm tự động mà vẫn để engineer làm được việc vận hành.

Credential mạnh nằm ở một dịch vụ, không nằm trên máy người: đó là điều kiện để mọi rào chắn khác không bị đi vòng.
Đối xử với lệnh vận hành nguy hiểm như thay đổi code: PR, CI, người thứ hai duyệt, lịch sử.
Ghi lại người khởi tạo chứ không chỉ tài khoản chung.
Giữ đường nhanh cho thao tác chỉ đọc để rào chắn không bị ghét bỏ.