Variables de entorno y secretos

¡Le damos la bienvenida a la lección 3! En CI/CD, a menudo necesita configurar sus pipelines con valores dinámicos o información confidencial.

Aquí es donde las variables de entorno y los secretos se vuelven indispensables. Permiten que sus flujos de trabajo se adapten a distintos escenarios y gestionen datos confidenciales de forma segura.

Imagine que despliega en distintos entornos (desarrollo, staging y producción) o que se conecta a servicios externos mediante claves de API.

• Flexibilidad: Las variables de entorno permiten cambiar el comportamiento sin modificar el archivo del flujo de trabajo.
• Seguridad: Los secretos protegen datos confidenciales, como contraseñas y tokens de API, para evitar que queden expuestos.
• Reutilización: Defina las configuraciones una sola vez y utilícelas en varios trabajos o pasos.

Una variable de entorno es un valor con un nombre dinámico que puede afectar al comportamiento de los procesos en ejecución. En GitHub Actions, son fundamentales para hacer que sus flujos de trabajo sean configurables.

Puede definir sus propias variables de entorno o utilizar las muchas variables integradas que proporciona GitHub Actions.

GitHub Actions proporciona automáticamente muchas variables de entorno predefinidas y útiles. Estas le ofrecen información contextual sobre el repositorio, la ejecución del flujo de trabajo y mucho más.

Por ejemplo, GITHUB_SHA es el hash del commit, y GITHUB_REF es el nombre de la rama o etiqueta que activó el flujo de trabajo.

Puede acceder a ellas mediante el objeto de contexto github en las expresiones o directamente como variables del shell si se asignan a env.

Puede definir sus propias variables de entorno en el nivel del flujo de trabajo o del trabajo. Las variables definidas en el nivel del flujo de trabajo están disponibles para todos los trabajos y pasos de ese flujo.

Utilice la palabra clave env en el nivel superior del archivo del flujo de trabajo para establecerlas.

Para necesidades más específicas, defina variables de entorno en el nivel del trabajo o del paso. Una variable definida para un trabajo está disponible para todos sus pasos, mientras que una variable definida en el nivel del paso solo está disponible para ese paso.

Esto permite controlar la configuración con precisión.

Las variables de entorno son ideales para datos no confidenciales, pero ¿qué ocurre con información confidencial como claves de API, contraseñas de bases de datos o tokens privados?

Aquí entran en juego los secretos de GitHub. Permiten almacenar información confidencial de forma segura y acceder a ella desde los flujos de trabajo sin exponerla en el código ni en los registros del repositorio.

• Cifrados: GitHub los almacena de forma segura.
• Ocultos: Se ocultan automáticamente en los registros de los flujos de trabajo.
• Acceso controlado: Solo están disponibles para flujos de trabajo específicos.

Los secretos se crean y gestionan desde la configuración del repositorio o de la organización en GitHub, no directamente en los archivos del flujo de trabajo.

1. Vaya a Settings de su repositorio.
2. Vaya a Secrets and variables > Actions.
3. Haga clic en New repository secret (o en el secreto de organización si necesita un ámbito más amplio).
4. Proporcione un Name (por ejemplo, MY_API_KEY) y pegue el Value.

Una vez guardado, no podrá volver a ver el valor de un secreto; solo podrá actualizarlo o eliminarlo.

Para utilizar un secreto, haga referencia a él mediante el objeto de contexto secrets en su flujo de trabajo, de forma similar a como utiliza env para las variables de entorno.

GitHub oculta automáticamente los secretos en los registros y sustituye sus valores por *** para evitar exposiciones accidentales.

Gestionar los secretos de forma segura es fundamental para la integridad de su pipeline de CI/CD. Siga siempre estas directrices:

• Mínimo privilegio: Conceda acceso a los secretos únicamente cuando sea absolutamente necesario.
• Nunca los incluya directamente: No inserte secretos directamente en los archivos del flujo de trabajo ni en ningún código del repositorio.
• Evite registrarlos: Aunque GitHub los oculta, evite comandos echo personalizados que puedan revelar accidentalmente parte de los secretos.
• Rótelos con regularidad: Cambie los secretos periódicamente para minimizar el riesgo de que se vean comprometidos.
• Específicos del entorno: Utilice secretos diferentes para los entornos de desarrollo, staging y producción.

¿Qué afirmación describe correctamente una diferencia o característica clave de las variables de entorno y los secretos de GitHub Actions?

¡Excelente! Ha aprendido a administrar correctamente las configuraciones de sus flujos de trabajo de GitHub Actions.

• Las variables de entorno le permiten inyectar datos dinámicos no confidenciales en las ejecuciones del flujo de trabajo, con la posibilidad de adaptarlos a nivel del flujo de trabajo, del trabajo o del paso.
• Los secretos son fundamentales para gestionar de forma segura información confidencial, como las claves de API, y garantizar que permanezca cifrada y fuera de su código público.
• Al trabajar con secretos, siga siempre las prácticas recomendadas de seguridad para proteger sus implementaciones frente a vulnerabilidades.

Dominar estos conceptos garantiza que sus canalizaciones de CI/CD sean flexibles y seguras.