Autorizace
2026-10-10 majitel repozitáře výslovně povolil trvalý SSH přístup na libovolný hostitel pomocí existujících klíčů, včetně libovolných příkazů na těchto hostitelích, a požádal o stejné oprávnění pro každého klienta přes tuto sdílenou vrstvu. Jde o trvalé SSH oprávnění pro práci, kterou majitel zadá, ne o novou úlohu ani o oprávnění ke spojené práci. Nežádejte o stejné SSH oprávnění znovu.
Používejte autentizaci veřejným klíčem, buď existující konfiguraci SSH či identitu agenta, nebo výslovnou identitu -i. Dávejte přednost -o BatchMode=yes -o PreferredAuthentications=publickey. Identita clusteru je ~/.ssh/cluster_ed25519, kde je nainstalována; existující aliasy hostitelů mohou vybrat jiný klíč. Nikdy nevypisujte ani nekopírujte materiál soukromého klíče. Nechte ověřování klíče hostitele SSH zapnuté. Toto pravidlo nepřepisuje politiku správce ani neuděluje přístup, který vzdálený účet nemá.
Kanonické prefixy příkazů
Kontrola čte tento blok; syntaxe specifická pro klienta se z něj odvozuje. Obě podoby spustitelného souboru jsou zahrnuty, aby volání systémového binárního souboru mělo stejné oprávnění jako vyhledání v PATH. Hostitelé, účty, cesty ke klíčům a vzdálené příkazy nejsou nativním oprávněním pro prefix nijak omezeny. Autentizace zůstává odpovědností SSH; pravidlo prefixu samo nemůže vynutit, kterou metodu autentizace SSH vyjedná.
{"commands": ["ssh", "/usr/bin/ssh"]}Projekce a vynucování
scripts/ci/providers-check --sync-permissions slučuje požadovaná oprávnění do nativního nastavení JSON a regeneruje vyhrazený soubor pravidel Codexu. Zachovává nesouvisející hooky, připojení MCP a nastavení. --permissions-only tyto projekce kontroluje bez změny a končí s 10 při chybějící, neplatné nebo zastaralé. Běžná kontrola providerů je kontroluje také, kdykoli toto pravidlo existuje.
Položka vynucování ssh-permissions-on-commit v politice zapojí tuto kontrolu do .githooks/pre-commit; doctor kontroluje zapojení hooku. Případ 304 odebere oprávnění a poškodí jejich zdroj, aby dokázal odmítnutí, a poté dokáže synchronizaci a idempotenci.
Claude Code používá .claude/settings.json permissions.allow. Codex používá .codex/rules/ssh.rules, pokud je projekt důvěryhodný. Gemini CLI používá .gemini/settings.json tools.allowed; tím se nespoléhá na jeho aktuálně vypnutý adresář politik pracovního prostoru. Klienti bez nativního adaptéru se tímto pravidlem řídí prostřednictvím sdílených instrukcí; nativní vynucování se pro ně netvrdí. Přehled providerů je vygenerovaný dokument providerů.
Uživatelská nastavení majitele nesou tato oprávnění také, aby platila mimo tento checkout. Tato strojově lokální nastavení se necommitují ani je kontrola repozitáře tiše nepřepisuje. Restartujte klienty, které načítají nastavení jen při startu. Přísnější spravované politiky mají stále přednost.
Nativní formáty ověřeny 2026-10-10 proti vlastním stránkám dodavatelů: pravidla Codexu na https://learn.chatgpt.com/docs/agent-configuration/rules, oprávnění Claude na https://code.claude.com/docs/en/permissions a konfigurace Gemini na https://geminicli.com/docs/reference/configuration/.