Mengelola Secret dan Variabel Lingkungan

Alur kerja memerlukan token dan kata sandi untuk mengakses registri dan target awan. Menuliskannya langsung di dalam kode akan membocorkannya kepada siapa pun yang memiliki akses ke repositori—itulah yang dicegah oleh rahasia.

Anda menambahkan rahasia dalam pengaturan repositori, organisasi, atau lingkungan. Rahasia dienkripsi saat disimpan dan hanya diberikan kepada alur kerja sebagai nilai yang disamarkan.

Rujuk rahasia melalui konteks secrets, lalu teruskan ke suatu langkah sebagai variabel lingkungan atau masukan tindakan. Di sini, rahasia tersebut digunakan oleh skrip penerapan.

GitHub secara otomatis menyamarkan rahasia dalam catatan sebagai ***. Meski begitu, jangan pernah menampilkannya atau menyimpannya—transformasi seperti base64 dapat melewati penyamaran dan membocorkannya.

Untuk konfigurasi yang tidak sensitif, seperti wilayah atau opsi pembangunan, gunakan variabel melalui konteks vars. Variabel tersebut terlihat di antarmuka, dan itu tidak masalah jika tidak ada yang bersifat rahasia.

Setiap proses berjalan memperoleh GITHUB_TOKEN otomatis untuk melakukan autentikasi ke repositori. Batasi cakupannya dengan ketat menggunakan kunci permissions—berikan hak akses minimum.

Sebuah lingkungan, seperti persiapan atau produksi, mengelompokkan rahasia dan menambahkan aturan perlindungan—peninjau wajib, pengatur waktu tunggu, batasan cabang—sebelum penerapan dijalankan.

Dengan lingkungan yang dilindungi, tugas penerapan berhenti sementara sampai peninjau yang ditunjuk menyetujuinya—sebuah gerbang manusia yang disengaja sebelum produksi.

Rahasia tidak pernah diteruskan kepada alur kerja dari PR hasil percabangan, sehingga kontributor tak tepercaya tidak dapat mencurinya. Rancang integrasi berkelanjutan agar PR hasil percabangan tidak memerlukan rahasia.

Anggap setiap rahasia dapat diganti. Jika rahasia bocor atau kedaluwarsa, cukup perbarui di pengaturan—proses berjalan berikutnya akan mengambil nilai baru tanpa perubahan kode.

Panduan utamanya: rahasia untuk nilai sensitif, variabel untuk nilai lainnya, GITHUB_TOKEN dengan cakupan yang sangat terbatas, lingkungan untuk melindungi produksi, dan jangan pernah mencatat rahasia.

Rahasia atau variabel, disamarkan atau terlihat—mana yang harus digunakan?

Sekarang Anda dapat mengelola rahasia dan variabel dengan aman: simpan secara terenkripsi, baca melalui konteks secrets, batasi cakupan token, dan lindungi penerapan dengan lingkungan.