Gestion des secrets avec GitHub

Dans tout projet logiciel, vous devez souvent utiliser des informations sensibles comme des clés d'API, des identifiants de bases de données ou des jetons d'accès. Les stocker directement dans votre code ou votre dépôt représente un risque de sécurité majeur.

La gestion des secrets consiste à stocker et à gérer ces données sensibles de manière sécurisée. Elle garantit que seuls les systèmes et utilisateurs autorisés peuvent y accéder, empêchant ainsi toute exposition non autorisée.

GitHub fournit un moyen sécurisé de stocker les informations sensibles, appelé secrets GitHub. Il s'agit de variables d'environnement chiffrées que vous pouvez utiliser dans vos flux de travail GitHub Actions.

• Ils ne sont pas écrits dans les journaux par défaut.
• Ils ne sont pas visibles dans l'interface utilisateur après leur création.
• Ils ne sont accessibles qu'aux flux de travail sélectionnés.

Cela protège vos identifiants contre toute exposition accidentelle.

Vous pouvez définir des secrets à différents niveaux : dépôt, environnement ou organisation. Le plus souvent, vous commencerez par les secrets du dépôt.

Pour en créer un :

1. Accédez à l'onglet Paramètres de votre dépôt.
2. Accédez à Secrets et variables > Actions.
3. Cliquez sur Nouveau secret du dépôt.

Donnez-lui un nom unique (par exemple, API_KEY) et collez la valeur de votre secret.

Une fois qu'un secret est défini, vous pouvez l'utiliser dans vos fichiers YAML de flux de travail. GitHub Actions injecte automatiquement les secrets en tant que variables d'environnement dans vos tâches.

Vous y accédez à l'aide du contexte ${{ secrets.SECRET_NAME }}. Ce script simule une étape qui utiliserait un tel secret. Pour l'exécuter, imaginez que MY_API_KEY est défini comme variable d'environnement par GitHub Actions.

En plus des secrets du dépôt, GitHub propose deux portées plus puissantes :

• Secrets d'organisation : disponibles dans plusieurs dépôts d'une même organisation. Ils sont utiles pour les secrets partagés entre de nombreux projets (par exemple, un jeton de déploiement commun à toute l'entreprise).
• Secrets d'environnement : associés à des environnements de déploiement spécifiques (par exemple, staging ou production). Ils peuvent être soumis à des règles de protection, comme l'obligation d'obtenir une approbation manuelle avant le déploiement.

Utilisez toujours la portée la plus restreinte nécessaire pour garantir une sécurité maximale.

OpenID Connect (OIDC) est une couche d'authentification fondée sur OAuth 2.0. Il s'agit d'une norme qui permet aux clients de vérifier l'identité d'un utilisateur final en fonction de l'authentification effectuée par un serveur d'autorisation.

Dans la CI/CD, OIDC permet à vos flux de travail de s'authentifier de manière sécurisée auprès de fournisseurs de services cloud (comme AWS, Azure et GCP) sans avoir à stocker des identifiants à longue durée de vie (comme des clés d'API) en tant que secrets GitHub.

GitHub Actions peut jouer le rôle de fournisseur OIDC. Lorsqu'un flux de travail s'exécute, GitHub génère un jeton OIDC unique et à courte durée de vie pour cette tâche spécifique.

Ce jeton contient des assertions vérifiables sur le flux de travail, comme le dépôt, la branche et l'ID de la tâche. Les fournisseurs de services cloud peuvent alors être configurés pour faire confiance aux jetons émis par GitHub et accorder un accès temporaire en fonction de ces assertions.

L'utilisation d'OIDC avec GitHub Actions offre des avantages importants en matière de sécurité :

• Pas d'identifiants à longue durée de vie : vous ne stockez pas de clés d'API cloud statiques dans les secrets GitHub.
• Réduction des risques : les jetons à courte durée de vie limitent les conséquences au cas où un jeton serait compromis.
• Accès précis : les rôles cloud peuvent être associés à des conditions spécifiques du flux de travail (par exemple, n'autoriser le déploiement qu'à partir de la branche main).
• Audit : il est plus facile de suivre qui a fait quoi, car les identités sont liées à l'exécution du flux de travail.

Pour utiliser OIDC, vous devez configurer votre fournisseur de services cloud (par exemple, AWS IAM, Azure AD ou GCP IAM) afin qu'il fasse confiance à l'émetteur OIDC de GitHub.

Cette configuration implique généralement :

1. Configurer un fournisseur d'identité (IdP) dans votre compte cloud.
2. Définir un rôle ou une politique qui accorde des autorisations spécifiques.
3. Ajouter une « politique de confiance » au rôle, afin d'autoriser les jetons OIDC de GitHub à l'assumer, souvent avec des conditions fondées sur les assertions du jeton (par exemple, uniquement depuis un dépôt spécifique).

Le flux de travail demande ensuite un jeton et l'utilise pour s'authentifier.

Vous avez découvert les secrets GitHub pour stocker les données sensibles et OpenID Connect pour l'authentification cloud sans identifiants.

Lesquelles des affirmations suivantes concernant la gestion des secrets de GitHub Actions sont TRUE ?

Excellent travail ! Vous avez appris à gérer de manière sécurisée les données sensibles dans vos chaînes CI/CD.

• Les secrets GitHub fournissent un stockage chiffré pour les clés d'API et les jetons au sein de votre dépôt, de votre organisation ou d'environnements spécifiques.
• OpenID Connect (OIDC) offre un moyen encore plus sécurisé de s'authentifier auprès des fournisseurs de services cloud en utilisant des jetons à courte durée de vie et vérifiables au lieu d'identifiants statiques.

Ces pratiques sont essentielles pour créer des chaînes DevOps robustes et sécurisées.