プロジェクトが公開で作られた + 公開に変更されたとき、セキュリティ通知を管理者に送る

[ishikawa999]

RedmineコミュニティのSlackの話題から:
https://redmine-freesalon.slack.com/archives/C016XQY1B2N/p1609034621000300

楽天のsalesforce設定ミスによる情報流出が報道されてますが、Redmineの設定ミスで意図せず公開状態になっているケースも無いか気になりました。

プロジェクトを各ユーザーに作れるようにすると公開プロジェクトを作れてしまうため、意図せずそういったプロジェクトができないようセキュリティ通知で警告を出すと良いと思いました。

---

公式にチケット無し、仕様決めから

[ishikawa999]

懸念点:
すべて公開プロジェクトとして運用するようなケース(OSS, すべて公開プロジェクトで運用など)ではセキュリティ通知が頻繁に飛んでしまい面倒に思われそう。

案:

• 「認証が必要」がオフだったり、「ユーザーは自分で登録できる」が有効だったりと、公開プロジェクト状態の時に完全に自由にアクセスできる設定の時だけにするとか？
• 既存のセキュリティ通知と同じように、「公開に変更されたとき」だけの通知にする ← とりあえずこれで作ってみても良さそう

[ishikawa999]

メール関連の動作検証のやり方(redmine_development_dockerを使っている場合)
https://github.com/ishikawa999/redmine_development_docker#redmineから送信されるメールの内容をチェック

それ以外なら先にテストを書いてから期待通りに動くかをテストするのがおすすめ