Secrets und Umgebungsvariablen in Actions

Workflows benötigen häufig API-Schlüssel, Tokens oder Passwörter. Wenn Sie diese in YAML fest codieren, würden Sie sie in Ihrem Repository offenlegen. Secrets bewahren sie sicher und verschlüsselt auf.

Fügen Sie Secrets im Repository unter Einstellungen > Geheimnisse und Variablen > Actions hinzu. Sie werden verschlüsselt und nach dem Speichern nie wieder angezeigt.

Verweisen Sie innerhalb eines Workflow-Schritts mit dem Kontext secrets auf ein Secret.

GitHub maskiert Secret-Werte automatisch in Logs und ersetzt sie durch ***, damit sie nie in der Build-Ausgabe auftauchen.

Jeder Workflow erhält automatisch ein Secret GITHUB_TOKEN, um sich beim Repository zu authentifizieren, ohne dass Sie eines erstellen müssen.

Nicht geheime Konfiguration kann auf Workflow-, Job- oder Schritt-Ebene mit dem Schlüssel env als einfache Variable festgelegt werden.

Nicht vertrauliche Werte, die in mehreren Workflows wiederverwendet werden, können als Repository-Variablen gespeichert und über den Kontext vars gelesen werden.

GitHub-Environments wie Staging und Produktion können eigene Secrets enthalten und vor deren Verwendung Genehmigungen erfordern.

Secrets, die in vielen Repositories gemeinsam genutzt werden, können auf der Ebene der Organisation definiert und auf ausgewählte Repositories begrenzt werden.

Aus Sicherheitsgründen werden Secrets nicht an Workflows übergeben, die durch Pull Requests aus Forks ausgelöst werden. So wird verhindert, dass bösartige PRs Zugangsdaten stehlen.

Beschränken Sie den Geltungsbereich von Secrets, rotieren Sie sie regelmäßig, geben Sie sie niemals mit echo aus und bevorzugen Sie nach Möglichkeit das integrierte Token.

Sie haben gelernt, Secrets in Actions zu verwalten:

• Speichern Sie Secrets in den Einstellungen von Repository, Organisation oder Umgebung
• Verweisen Sie über ${{ secrets.NAME }} auf sie
• Werte werden in Logs maskiert
• Forks erhalten aus Sicherheitsgründen keine Secrets für PRs