Secrets und Umgebungsvariablen verwalten

Pipelines benötigen Token und Passwörter, um auf Registries und Cloud-Ziele zuzugreifen. Wenn Sie diese fest im Code hinterlegen, werden sie für alle Personen mit Zugriff auf das Repository sichtbar – genau das verhindern Geheimnisse.

Sie fügen Geheimnisse in den Einstellungen des Repositorys, der Organisation oder der Umgebung hinzu. Sie werden im Ruhezustand verschlüsselt und Workflows nur als maskierte Werte bereitgestellt.

Verweisen Sie über den Kontext secrets auf ein Geheimnis und übergeben Sie es anschließend als Umgebungsvariable oder Action-Eingabe an einen Schritt. Hier wird es an ein Bereitstellungsskript übergeben.

GitHub maskiert Geheimnisse in Logs automatisch als ***. Geben Sie ein Geheimnis trotzdem niemals aus und speichern Sie es niemals dauerhaft – Transformationen wie base64 können die Maskierung umgehen und das Geheimnis offenlegen.

Verwenden Sie für nicht sensible Konfigurationen wie eine Region oder ein Build-Flag Variablen über den Kontext vars. Sie sind in der Benutzeroberfläche sichtbar, was unproblematisch ist, solange es sich nicht um Geheimnisse handelt.

Jeder Lauf erhält automatisch ein GITHUB_TOKEN, um sich beim Repository zu authentifizieren. Schränken Sie seinen Geltungsbereich mit dem Schlüssel permissions so weit wie möglich ein – nach dem Prinzip der geringsten Berechtigungen.

Eine Umgebung wie staging oder production bündelt Geheimnisse und fügt Schutzregeln hinzu – erforderliche Reviewer, Wartezeiten und Branch-Einschränkungen –, bevor eine Bereitstellung ausgeführt wird.

Bei einer geschützten Umgebung wird ein Bereitstellungsjob angehalten, bis ein指定eter Reviewer ihn genehmigt – eine bewusst eingerichtete menschliche Kontrolle vor der Production-Umgebung.

Geheimnisse werden niemals an Workflows aus PRs aus Forks übergeben, sodass ein nicht vertrauenswürdiger Beitragender sie nicht stehlen kann. Entwerfen Sie Ihre CI so, dass PRs aus Forks keine Geheimnisse benötigen.

Behandeln Sie jedes Geheimnis so, dass es rotierbar ist. Wenn ein Geheimnis offengelegt wird oder abläuft, aktualisieren Sie es einfach in den Einstellungen – der nächste Lauf verwendet den neuen Wert, ohne dass Code geändert werden muss.

Der Leitfaden: Geheimnisse für sensible Werte, Variablen für alle übrigen Werte, ein eng eingeschränktes GITHUB_TOKEN, Umgebungen zum Schutz der Production-Umgebung und niemals ein Geheimnis protokollieren.

Sie können Geheimnisse und Variablen jetzt sicher verwalten: Speichern Sie sie verschlüsselt, lesen Sie sie über den Kontext secrets aus, schränken Sie den Token ein und schützen Sie Bereitstellungen durch Umgebungen.