Opiniones sobre la implementación de la página de administración de ruby ​​on rails

Question

¿Cuál es el consenso general con la implementación de una interfaz de administración detrás de una aplicación web? Tenga en cuenta que no estoy buscando un generador de administrador similar a Merb, RailsAdmin, Typus u otro.

me gustaría saber lo siguiente:

1. ¿Es necesario? De lo contrario, ¿de qué otra forma administrarían la aplicación los administradores? Consola Via Rails? Vía base de datos?
2. ¿Debe verse la url como: http://localhost/admin o http://admin.localhost/ u otra?
3. ¿Debería el espacio de nombres ser admin o administradores?
4. ¿Cómo implementan su interfaz de administrador aplicaciones grandes como Github, Facebook o incluso Stackoverflow?
5. ¿Tener una interfaz de administrador accesible a través de la aplicación web implica un riesgo de seguridad de cualquier tipo?

Answer 1

1) No es necesario, sin embargo, es bueno tener una interfaz para administrar sus datos. De esta forma, podría tener múltiples administradores, en los cuales ninguno de ellos realmente tiene que tocar la base de datos/código a través de la consola (por facilidad de uso, seguridad, etc.).

2) Depende completamente de usted, sin embargo, localhost/admin puede reducir la cantidad de complicaciones con los subdominios.

3) El espacio de nombres es generalmente administrador, sin embargo una vez más ... depende de usted. Puede intentar ocultarlo, sin embargo tenga en cuenta: La oscuridad no es una forma de seguridad.

4) Las aplicaciones/empresas de gran tamaño sin duda implementan una interfaz de administrador por muchas razones, una como dije en 1). Puede proporcionar funcionalidad a personas de confianza dentro de su organización que no necesariamente tienen las habilidades técnicas para abrir una consola. Esto reduce la cantidad de errores (errores tipográficos, etc.) y aumenta la cantidad de usabilidad.

5) Tener una interfaz de administrador que sea pública es intrínsecamente un posible peligro para la seguridad. Podría implementar muchas técnicas para ayudar a reducir este peligro, como ubicar la sección de administración del sitio detrás de un cortafuegos/intranet privada en la que solo puede acceder a través de VPN o cuando está 'en la oficina' (encima de las técnicas obvias como autenticacion de usuario). Otra solución si no puede ubicarlo detrás de un firewall/intranet es limitar el acceso a una lista blanca de direcciones IP.