Gestire Secrets e variabili d'ambiente

Le pipeline hanno bisogno di token e password per accedere ai registry e alle destinazioni cloud. Inserirli direttamente nel codice li espone a chiunque abbia accesso al repository: è proprio questo che impediscono i secret.

Aggiunga i secret nelle impostazioni del repository, dell'organizzazione o dell'ambiente. Vengono cifrati quando sono inattivi ed esposti ai workflow solo come valori mascherati.

Faccia riferimento a un secret tramite il contesto secrets, quindi lo passi a uno step come variabile d'ambiente o input di un'action. In questo caso alimenta uno script di deploy.

GitHub maschera automaticamente i secret nei log come ***. Anche in questo caso, non li visualizzi mai con echo né li salvi: trasformazioni come base64 possono eludere la mascheratura e causarne la fuga.

Per configurazioni non sensibili, come una regione o un flag di build, utilizzi le variabili tramite il contesto vars. Sono visibili nell'interfaccia, il che va bene quando non contengono informazioni segrete.

Ogni esecuzione riceve un GITHUB_TOKEN automatico per autenticarsi al repository. Ne limiti l'ambito con la chiave permissions: il principio del privilegio minimo.

Un ambiente, come staging o production, raggruppa i secret e aggiunge regole di protezione — revisori obbligatori, timer di attesa e limiti sui branch — prima dell'esecuzione di un deploy.

Con un ambiente protetto, un job di deploy si mette in pausa finché un revisore designato non approva: un passaggio umano deliberato prima della produzione.

I secret non vengono mai passati ai workflow provenienti da pull request da fork, quindi un contributore non attendibile non può sottrarli. Progetti la CI in modo che le pull request da fork non richiedano secret.

Consideri ogni secret come aggiornabile. Quando un secret viene divulgato o scade, è sufficiente aggiornarlo nelle impostazioni: l'esecuzione successiva utilizzerà il nuovo valore, senza modifiche al codice.

La strategia è questa: secret per i valori sensibili, variabili per tutto il resto, un GITHUB_TOKEN con ambito strettamente limitato, ambienti a protezione della produzione e mai registrare un secret nei log.

Secret o variabile, mascherato o visibile: quale utilizzare e dove?

Ora sa gestire in sicurezza secret e variabili: li conserva in forma cifrata, li legge tramite il contesto secrets, limita l'ambito del token e protegge i deploy con gli ambienti.