Secretbeheer met GitHub

In elk softwareproject heb je vaak gevoelige informatie nodig, zoals API-sleutels, database-inloggegevens of toegangstokens. Als je deze rechtstreeks in je code of repository opslaat, vormt dat een groot beveiligingsrisico.

Geheimenbeheer is het veilig opslaan en beheren van deze gevoelige gegevens. Het zorgt ervoor dat alleen bevoegde systemen en gebruikers er toegang toe hebben en voorkomt dat ze onbevoegd worden blootgesteld.

GitHub biedt een veilige manier om gevoelige informatie op te slaan, genaamd GitHub Secrets. Dit zijn versleutelde omgevingsvariabelen die je in je GitHub Actions-workflows kunt gebruiken.

• Ze worden standaard niet naar de logboeken geschreven.
• Ze zijn na het aanmaken niet zichtbaar in de gebruikersinterface.
• Ze zijn alleen toegankelijk voor geselecteerde workflows.

Zo blijven je inloggegevens beschermd tegen onbedoelde blootstelling.

Je kunt geheimen op verschillende niveaus definiëren: repository, omgeving of organisatie. Meestal begin je met repositorygeheimen.

Een geheim aanmaken:

1. Ga naar het tabblad Instellingen van je repository.
2. Ga naar Geheimen en variabelen > Actions.
3. Klik op Nieuw repositorygeheim.

Geef het een unieke naam, bijvoorbeeld API_KEY, en plak de waarde van je geheim.

Nadat je een geheim hebt gedefinieerd, kun je het in je workflow-YAML-bestanden gebruiken. GitHub Actions voegt geheimen automatisch als omgevingsvariabelen aan je taken toe.

Je gebruikt ze via de context ${{ secrets.SECRET_NAME }}. Dit script simuleert een stap die zo'n geheim zou gebruiken. Stel voor dat MY_API_KEY door GitHub Actions als omgevingsvariabele is ingesteld.

Naast repositorygeheimen biedt GitHub nog twee krachtigere bereiken:

• Organisatiegeheimen: beschikbaar voor meerdere repositories binnen een organisatie. Handig voor geheimen die in veel projecten worden gedeeld, zoals een implementatietoken voor het hele bedrijf.
• Omgevingsgeheimen: gekoppeld aan specifieke implementatieomgevingen, zoals staging en production. Deze kunnen beschermingsregels hebben, zoals de eis van handmatige goedkeuring vóór de implementatie.

Gebruik altijd het kleinst mogelijke bereik voor maximale beveiliging.

OpenID Connect (OIDC) is een authenticatielaag boven op OAuth 2.0. Het is een standaard waarmee clients de identiteit van een eindgebruiker kunnen verifiëren op basis van de authenticatie die door een autorisatieserver is uitgevoerd.

In CI/CD maakt OIDC het mogelijk dat je workflows zich veilig authenticeren bij cloudproviders, zoals AWS, Azure en GCP, zonder langdurige inloggegevens, zoals API-sleutels, als GitHub Secrets te hoeven opslaan.

GitHub Actions kan als OIDC-provider optreden. Wanneer een workflow wordt uitgevoerd, genereert GitHub een uniek, kortlevend OIDC-token voor die specifieke taak.

Dit token bevat verifieerbare claims over de workflow, zoals de repository, branch en taak-ID. Cloudproviders kunnen vervolgens zo worden geconfigureerd dat ze tokens van GitHub vertrouwen en op basis van deze claims tijdelijke toegang verlenen.

OIDC gebruiken met GitHub Actions biedt belangrijke beveiligingsvoordelen:

• Geen langdurige inloggegevens: je slaat geen statische cloud-API-sleutels op in GitHub Secrets.
• Minder risico: kortlevende tokens beperken de gevolgen als een token ooit wordt gecompromitteerd.
• Gedetailleerde toegangsrechten: cloudrollen kunnen worden gekoppeld aan specifieke workflowvoorwaarden, bijvoorbeeld dat implementatie alleen vanaf de main-branch is toegestaan.
• Controleerbaarheid: het is eenvoudiger bij te houden wie wat heeft gedaan, omdat identiteiten aan de uitvoering van de workflow zijn gekoppeld.

Om OIDC te gebruiken, moet je je cloudprovider, bijvoorbeeld AWS IAM, Azure AD of GCP IAM, configureren om GitHub als OIDC-uitgever te vertrouwen.

Dit houdt meestal het volgende in:

1. Een identiteitsprovider (IdP) instellen in je cloudaccount.
2. Een rol of beleid definiëren dat specifieke machtigingen verleent.
3. Een "vertrouwensbeleid" aan de rol toevoegen waarmee GitHub-tokens van OIDC deze rol mogen aannemen, vaak met voorwaarden op basis van tokenclaims, bijvoorbeeld alleen vanuit een specifieke repository.

De workflow vraagt vervolgens een token aan en gebruikt dit om zich te authenticeren.

Goed gedaan! Je hebt geleerd hoe je gevoelige gegevens veilig beheert in je CI/CD-pijplijnen.

• GitHub Secrets bieden versleutelde opslag voor API-sleutels en tokens binnen je repository, organisatie of specifieke omgevingen.
• OpenID Connect (OIDC) biedt een nog veiligere manier om je bij cloudproviders te authenticeren, door kortlevende, verifieerbare tokens te gebruiken in plaats van statische inloggegevens.

Deze praktijken zijn essentieel voor het bouwen van robuuste en veilige DevOps-pijplijnen.