إدارة الأسرار ومتغيرات البيئة

تحتاج مسارات التكامل المستمر إلى رموز وكلمات مرور للوصول إلى السجلات ووجهات السحابة. ويؤدي تضمينها مباشرةً في الشيفرة إلى كشفها لأي شخص لديه صلاحية الوصول إلى المستودع، وهذا ما تمنعه الأسرار.

تضيف الأسرار من إعدادات المستودع أو المؤسسة أو البيئة. وتُشفّر أثناء التخزين، ولا تُتاح لسير العمل إلا كقيم محجوبة.

أشِر إلى سر عبر سياق secrets، ثم مرّره إلى إحدى الخطوات كمتغير بيئي أو كمدخل لإجراء. وهنا يُمرَّر إلى نص برمجي للنشر.

يحجب GitHub الأسرار تلقائيًا في السجلات على هيئة ***. ومع ذلك، لا تعرض سرًا أو تحفظه مطلقًا، إذ يمكن لتحويلات مثل base64 أن تتجاوز الحجب وتكشفه.

بالنسبة إلى الإعدادات غير الحساسة، مثل المنطقة أو علامة البناء، استخدم المتغيرات عبر سياق vars. وتكون هذه المتغيرات ظاهرة في واجهة المستخدم، وهذا مناسب عندما لا تتضمن شيئًا سريًا.

يحصل كل تشغيل تلقائيًا على GITHUB_TOKEN للمصادقة على المستودع. حدّد نطاقه بدقة باستخدام المفتاح permissions، وفق مبدأ أقل صلاحية.

تجمع البيئة، مثل staging أو production، الأسرار وتضيف قواعد حماية، مثل المراجعين المطلوبين ومؤقتات الانتظار وقيود الفروع، قبل تشغيل النشر.

عند استخدام بيئة محمية، تتوقف مهمة النشر مؤقتًا حتى يوافق مراجع معيّن، لتشكّل بذلك بوابة بشرية متعمدة أمام الإنتاج.

لا تُمرَّر الأسرار مطلقًا إلى مسارات العمل من طلبات السحب المتفرعة، ولذلك لا يستطيع مساهم غير موثوق سرقتها. صمّم التكامل المستمر بحيث لا تحتاج طلبات السحب المتفرعة إلى أسرار.

تعامل مع كل سر على أنه قابل للتدوير. عندما يتسرب أحدها أو تنتهي صلاحيته، حدّثه في الإعدادات، وسيستخدم التشغيل التالي القيمة الجديدة من دون أي تغييرات في الشيفرة.

الخلاصة العملية: استخدم الأسرار للقيم الحساسة، والمتغيرات للقيم الأخرى، وحدّد نطاق GITHUB_TOKEN بدقة، واستخدم البيئات لحماية الإنتاج، ولا تسجل سرًا مطلقًا.

يمكنك الآن إدارة الأسرار والمتغيرات بأمان: خزّنها مشفّرة، واقرأها عبر سياق secrets، وحدّد نطاق الرمز، واحمِ عمليات النشر باستخدام البيئات.