Zarządzanie sekretami za pomocą GitHub

W każdym projekcie programistycznym często trzeba korzystać z poufnych informacji, takich jak klucze API, dane uwierzytelniające do baz danych czy tokeny dostępu. Przechowywanie ich bezpośrednio w kodzie lub repozytorium stanowi poważne zagrożenie dla bezpieczeństwa.

Zarządzanie sekretami to praktyka bezpiecznego przechowywania tych poufnych danych i zarządzania nimi. Gwarantuje, że dostęp do nich mają wyłącznie autoryzowane systemy i użytkownicy, zapobiegając ich nieuprawnionemu ujawnieniu.

GitHub oferuje bezpieczny sposób przechowywania poufnych informacji o nazwie GitHub Secrets. Są to zaszyfrowane zmienne środowiskowe, których można używać w przepływach pracy GitHub Actions.

• Domyślnie nie są zapisywane w dziennikach.
• Po utworzeniu nie są widoczne w interfejsie użytkownika.
• Są dostępne wyłącznie dla wybranych przepływów pracy.

Chroni to dane uwierzytelniające przed przypadkowym ujawnieniem.

Sekrety można definiować na różnych poziomach: repozytorium, środowiska lub organizacji. Najczęściej zaczyna się od sekretów repozytorium.

Aby utworzyć sekret:

1. Należy przejść do karty Ustawienia repozytorium.
2. Należy przejść do sekcji Sekrety i zmienne > Actions.
3. Należy kliknąć Nowy sekret repozytorium.

Należy nadać mu unikalną nazwę (np. API_KEY) i wkleić wartość sekretu.

Po zdefiniowaniu sekretu można używać go w plikach YAML przepływu pracy. GitHub Actions automatycznie wstrzykuje sekrety jako zmienne środowiskowe do zadań.

Dostęp do nich uzyskuje się za pomocą kontekstu ${{ secrets.SECRET_NAME }}. Ten skrypt symuluje krok, który korzystałby z takiego sekretu. Aby go uruchomić, należy założyć, że zmienna środowiskowa MY_API_KEY została ustawiona przez GitHub Actions.

Poza sekretami repozytorium GitHub oferuje dwa dodatkowe, bardziej rozbudowane zakresy:

• Sekrety organizacji: Dostępne dla wielu repozytoriów w ramach organizacji. Przydatne w przypadku sekretów współdzielonych przez wiele projektów (np. tokenu wdrażania używanego w całej firmie).
• Sekrety środowiska: Powiązane z konkretnymi środowiskami wdrażania (np. staging, production). Mogą mieć reguły ochrony, takie jak konieczność ręcznego zatwierdzenia przed wdrożeniem.

Dla zapewnienia maksymalnego bezpieczeństwa należy zawsze używać najmniejszego niezbędnego zakresu.

OpenID Connect (OIDC) to warstwa uwierzytelniania zbudowana na bazie OAuth 2.0. Jest to standard, który umożliwia klientom weryfikowanie tożsamości użytkownika końcowego na podstawie uwierzytelnienia przeprowadzonego przez serwer autoryzacji.

W CI/CD OIDC umożliwia przepływom pracy bezpieczne uwierzytelnianie się u dostawców chmury (takich jak AWS, Azure czy GCP) bez konieczności przechowywania długotrwałych danych uwierzytelniających (takich jak klucze API) jako GitHub Secrets.

GitHub Actions może pełnić rolę dostawcy OIDC. Po uruchomieniu przepływu pracy GitHub generuje unikalny, krótkotrwały token OIDC dla konkretnego zadania.

Token ten zawiera weryfikowalne deklaracje dotyczące przepływu pracy, takie jak repozytorium, gałąź i identyfikator zadania. Dostawców chmury można następnie skonfigurować tak, aby ufali tokenom wystawianym przez GitHub i przyznawali tymczasowy dostęp na podstawie tych deklaracji.

Korzystanie z OIDC wraz z GitHub Actions zapewnia istotne korzyści w zakresie bezpieczeństwa:

• Brak długoterminowych danych uwierzytelniających: Nie przechowuje się statycznych kluczy API chmury w GitHub Secrets.
• Zmniejszone ryzyko: Krótkotrwałe tokeny ograniczają skutki ewentualnego przejęcia tokenu.
• Precyzyjnie nadawany dostęp: Role w chmurze można powiązać z konkretnymi warunkami przepływu pracy (np. zezwolić na wdrażanie wyłącznie z gałęzi main).
• Audytowanie: Łatwiej śledzić, kto wykonał daną czynność, ponieważ tożsamości są powiązane z uruchomieniem przepływu pracy.

Aby korzystać z OIDC, należy skonfigurować dostawcę chmury (np. AWS IAM, Azure AD czy GCP IAM) tak, aby ufał wystawcy OIDC firmy GitHub.

Zazwyczaj obejmuje to:

1. Skonfigurowanie dostawcy tożsamości (IdP) na koncie w chmurze.
2. Zdefiniowanie roli lub zasad przyznających określone uprawnienia.
3. Dodanie „polityki zaufania” do roli, która pozwala tokenom OIDC GitHub przyjąć tę rolę, często z warunkami opartymi na deklaracjach tokenu (np. wyłącznie z określonego repozytorium).

Następnie przepływ pracy żąda tokenu i używa go do uwierzytelnienia.

Poznali Państwo GitHub Secrets służące do przechowywania poufnych danych oraz OpenID Connect umożliwiający uwierzytelnianie w chmurze bez przechowywania danych uwierzytelniających.

Które z poniższych stwierdzeń dotyczących zarządzania sekretami GitHub Actions są PRAWDZIWE?

Świetnie! Poznali Państwo sposoby bezpiecznego zarządzania poufnymi danymi w potokach CI/CD.

• GitHub Secrets zapewniają zaszyfrowane przechowywanie kluczy API i tokenów w ramach repozytorium, organizacji lub określonych środowisk.
• OpenID Connect (OIDC) zapewnia jeszcze bezpieczniejszy sposób uwierzytelniania u dostawców chmury dzięki użyciu krótkotrwałych, weryfikowalnych tokenów zamiast statycznych danych uwierzytelniających.

Praktyki te mają kluczowe znaczenie dla tworzenia solidnych i bezpiecznych potoków DevOps.