Zarządzanie sekretami i zmiennymi środowiskowymi

Potoki potrzebują tokenów i haseł, aby uzyskać dostęp do rejestrów i środowisk chmurowych. Wpisanie ich na stałe ujawnia je każdej osobie mającej dostęp do repozytorium — temu właśnie zapobiegają sekrety.

Sekrety dodaje się w ustawieniach repozytorium, organizacji lub środowiska. Są szyfrowane podczas przechowywania, a przepływy pracy otrzymują je wyłącznie jako zamaskowane wartości.

Odwołaj się do sekretu za pośrednictwem kontekstu secrets, a następnie przekaż go do kroku jako zmienną środowiskową lub dane wejściowe akcji. W tym przykładzie zasila on skrypt wdrożeniowy.

GitHub automatycznie maskuje sekrety w logach jako ***. Mimo to nigdy nie wyświetlaj ani nie zapisuj sekretu — przekształcenia takie jak base64 mogą ominąć maskowanie i doprowadzić do jego ujawnienia.

W przypadku niesensytywnej konfiguracji, takiej jak region lub flaga kompilacji, użyj zmiennych za pośrednictwem kontekstu vars. Są widoczne w interfejsie użytkownika, co nie stanowi problemu, gdy nie zawierają sekretów.

Każde uruchomienie otrzymuje automatyczny GITHUB_TOKEN do uwierzytelniania w repozytorium. Ogranicz jego zakres za pomocą klucza permissions, stosując zasadę minimalnych uprawnień.

Środowisko, takie jak staging lub production, grupuje sekrety i dodaje reguły ochrony — wymagane osoby zatwierdzające, timery oczekiwania i ograniczenia gałęzi — zanim uruchomi się wdrożenie.

W przypadku chronionego środowiska zadanie wdrożeniowe zostaje wstrzymane do momentu zatwierdzenia przez wyznaczoną osobę zatwierdzającą — to celowa kontrola człowieka przed wdrożeniem na produkcję.

Sekrety nigdy nie są przekazywane przepływom pracy uruchamianym z PR-ów z forków, więc niezaufany współtwórca nie może ich wykraść. Projektuj CI tak, aby PR-y z forków nie wymagały sekretów.

Zakładaj, że każdy sekret można rotować. Gdy sekret wycieknie lub wygaśnie, po prostu zaktualizuj go w ustawieniach — kolejne uruchomienie pobierze nową wartość bez żadnych zmian w kodzie.

Zestaw zasad: sekrety dla wrażliwych wartości, zmienne dla pozostałych, odpowiednio ograniczony GITHUB_TOKEN, środowiska chroniące produkcję oraz nigdy niezapisywanie sekretu w logach.

Sekret czy zmienna, wartość zamaskowana czy widoczna — co należy zastosować w danym przypadku?

Potrafisz już bezpiecznie zarządzać sekretami i zmiennymi: przechowywać je w postaci zaszyfrowanej, odczytywać za pomocą kontekstu secrets, ograniczać zakres tokena i chronić wdrożenia za pomocą środowisk.