Pengelolaan Rahasia dengan GitHub

Dalam proyek perangkat lunak apa pun, Anda sering perlu menggunakan informasi sensitif seperti kunci API, kredensial basis data, atau token akses. Menyimpan informasi tersebut secara langsung di dalam kode atau repositori Anda merupakan risiko keamanan yang besar.

Pengelolaan rahasia adalah praktik menyimpan dan mengelola bagian data sensitif tersebut secara aman. Praktik ini memastikan bahwa hanya sistem dan pengguna yang berwenang yang dapat mengaksesnya, sehingga mencegah paparan tanpa izin.

GitHub menyediakan cara aman untuk menyimpan informasi sensitif yang disebut GitHub Secrets. Informasi ini berupa variabel lingkungan terenkripsi yang dapat Anda gunakan dalam alur kerja GitHub Actions.

• Informasi tersebut tidak ditulis ke catatan secara bawaan.
• Informasi tersebut tidak terlihat di antarmuka setelah dibuat.
• Informasi tersebut hanya dapat diakses oleh alur kerja yang dipilih.

Dengan demikian, kredensial Anda terlindungi dari paparan yang tidak disengaja.

Anda dapat menentukan rahasia pada beberapa tingkat: repositori, lingkungan, atau organisasi. Biasanya, Anda akan memulai dengan rahasia repositori.

Untuk membuatnya:

1. Buka tab Pengaturan repositori Anda.
2. Buka Rahasia dan variabel > Tindakan.
3. Klik Rahasia repositori baru.

Berikan nama yang unik, misalnya API_KEY, lalu tempelkan nilai rahasia Anda.

Setelah rahasia ditentukan, Anda dapat menggunakannya dalam berkas YAML alur kerja. GitHub Actions secara otomatis menyisipkan rahasia sebagai variabel lingkungan ke dalam tugas Anda.

Anda mengaksesnya menggunakan konteks ${{ secrets.SECRET_NAME }}. Skrip ini menyimulasikan sebuah langkah yang akan menggunakan rahasia tersebut. Untuk menjalankannya, anggaplah MY_API_KEY telah ditetapkan sebagai variabel lingkungan oleh GitHub Actions.

Selain rahasia repositori, GitHub menyediakan dua cakupan lain yang lebih canggih:

• Rahasia Organisasi: Tersedia untuk beberapa repositori dalam suatu organisasi. Berguna untuk rahasia yang digunakan bersama di banyak proyek, misalnya token penerapan seluruh perusahaan.
• Rahasia Lingkungan: Terikat pada lingkungan penerapan tertentu, misalnya staging atau production. Rahasia ini dapat memiliki aturan perlindungan, seperti mewajibkan persetujuan manual sebelum penerapan.

Selalu gunakan cakupan terkecil yang diperlukan untuk keamanan maksimum.

OpenID Connect (OIDC) adalah lapisan autentikasi yang dibangun di atas OAuth 2.0. Ini adalah standar yang memungkinkan klien memverifikasi identitas pengguna akhir berdasarkan autentikasi yang dilakukan oleh server otorisasi.

Dalam CI/CD, OIDC memungkinkan alur kerja Anda melakukan autentikasi secara aman dengan penyedia layanan awan seperti AWS, Azure, dan GCP tanpa perlu menyimpan kredensial berumur panjang, seperti kunci API, sebagai GitHub Secrets.

GitHub Actions dapat bertindak sebagai penyedia OIDC. Saat alur kerja berjalan, GitHub membuat token OIDC unik dan berjangka pendek untuk tugas tertentu tersebut.

Token ini berisi klaim yang dapat diverifikasi tentang alur kerja, seperti repositori, cabang, dan ID tugas. Penyedia layanan awan kemudian dapat dikonfigurasi untuk memercayai token yang diterbitkan oleh GitHub dan memberikan akses sementara berdasarkan klaim tersebut.

Penggunaan OIDC dengan GitHub Actions memberikan keuntungan keamanan yang signifikan:

• Tanpa Kredensial Berumur Panjang: Anda tidak menyimpan kunci API layanan awan statis di GitHub Secrets.
• Risiko Berkurang: Token berjangka pendek meminimalkan dampak jika token tersebut disusupi.
• Akses Terperinci: Peran layanan awan dapat dipetakan ke kondisi alur kerja tertentu, misalnya hanya mengizinkan penerapan dari cabang main.
• Pengauditan: Lebih mudah melacak siapa melakukan apa karena identitas terikat pada eksekusi alur kerja.

Untuk menggunakan OIDC, Anda perlu mengonfigurasi penyedia layanan awan, misalnya AWS IAM, Azure AD, atau GCP IAM, agar memercayai penerbit OIDC milik GitHub.

Proses ini biasanya mencakup:

1. Menyiapkan Penyedia Identitas (IdP) di akun layanan awan Anda.
2. Menentukan Peran/Kebijakan yang memberikan izin tertentu.
3. Menambahkan "Kebijakan Kepercayaan" ke peran tersebut agar token OIDC GitHub dapat menggunakannya, biasanya dengan kondisi berdasarkan klaim token, misalnya hanya dari repositori tertentu.

Alur kerja kemudian meminta token dan menggunakannya untuk melakukan autentikasi.

Anda telah mempelajari GitHub Secrets untuk menyimpan data sensitif dan OpenID Connect untuk autentikasi layanan awan tanpa kredensial.

Manakah dari pernyataan berikut tentang pengelolaan rahasia GitHub Actions yang TRUE?

Bagus sekali! Anda telah mempelajari cara mengelola data sensitif dengan aman dalam alur CI/CD Anda.

• GitHub Secrets menyediakan penyimpanan terenkripsi untuk kunci API dan token di dalam repositori, organisasi, atau lingkungan tertentu.
• OpenID Connect (OIDC) menyediakan cara yang lebih aman untuk melakukan autentikasi dengan penyedia layanan awan menggunakan token berjangka pendek yang dapat diverifikasi, bukan kredensial statis.

Praktik-praktik ini sangat penting untuk membangun alur DevOps yang tangguh dan aman.