Gerenciamento de segredos com GitHub

Em qualquer projeto de software, muitas vezes é necessário usar informações sensíveis, como chaves de API, credenciais de banco de dados ou tokens de acesso. Armazená-las diretamente no seu código ou repositório representa um grande risco de segurança.

Gerenciamento de segredos é a prática de armazenar e gerenciar esses dados sensíveis com segurança. Isso garante que apenas sistemas e usuários autorizados possam acessá-los, evitando sua exposição não autorizada.

O GitHub oferece uma forma segura de armazenar informações sensíveis chamada segredos do GitHub. Essas são variáveis de ambiente criptografadas que você pode usar nos seus fluxos de trabalho das Ações do GitHub.

• Por padrão, eles não são gravados nos registros.
• Eles não ficam visíveis na interface depois da criação.
• Eles só podem ser acessados por fluxos de trabalho selecionados.

Isso mantém suas credenciais protegidas contra exposição acidental.

Você pode definir segredos em diferentes níveis: repositório, ambiente ou organização. Na maioria dos casos, você começará pelos segredos do repositório.

Para criar um:

1. Acesse a guia Configurações do seu repositório.
2. Navegue até Segredos e variáveis > Ações.
3. Clique em Novo segredo do repositório.

Dê a ele um nome exclusivo, por exemplo, API_KEY, e cole o valor do seu segredo.

Depois que um segredo é definido, você pode usá-lo nos arquivos YAML do seu fluxo de trabalho. As Ações do GitHub injetam automaticamente os segredos como variáveis de ambiente nas suas tarefas.

Você os acessa usando o contexto ${{ secrets.SECRET_NAME }}. Este script simula uma etapa que usaria esse segredo. Para executá-lo, imagine que MY_API_KEY esteja definido como uma variável de ambiente pelas Ações do GitHub.

Além dos segredos do repositório, o GitHub oferece dois níveis de abrangência mais amplos:

• Segredos da organização: Disponíveis para vários repositórios dentro de uma organização. São úteis para segredos compartilhados entre muitos projetos, como um token de implantação de toda a empresa.
• Segredos do ambiente: Associados a ambientes específicos de implantação, como staging e production. Eles podem ter regras de proteção, como exigir aprovação manual antes da implantação.

Sempre use a menor abrangência necessária para obter o máximo de segurança.

OpenID Connect (OIDC) é uma camada de autenticação criada sobre o OAuth 2.0. É um padrão que permite aos clientes verificarem a identidade de um usuário final com base na autenticação realizada por um servidor de autorização.

Na CI/CD, o OIDC permite que seus fluxos de trabalho se autentiquem com segurança em provedores de nuvem, como AWS, Azure e GCP, sem precisar armazenar credenciais de longa duração, como chaves de API, nos segredos do GitHub.

As Ações do GitHub podem atuar como um provedor OIDC. Quando um fluxo de trabalho é executado, o GitHub gera um token OIDC exclusivo e de curta duração para aquela tarefa específica.

Esse token contém declarações verificáveis sobre o fluxo de trabalho, como o repositório, a ramificação e o ID da tarefa. Os provedores de nuvem podem ser configurados para confiar nos tokens emitidos pelo GitHub e conceder acesso temporário com base nessas declarações.

Usar OIDC com as Ações do GitHub oferece vantagens significativas de segurança:

• Sem credenciais de longa duração: Você não armazena chaves de API estáticas da nuvem nos segredos do GitHub.
• Risco reduzido: Tokens de curta duração minimizam o impacto caso um token seja comprometido.
• Acesso granular: As funções da nuvem podem ser associadas a condições específicas do fluxo de trabalho, como permitir a implantação somente a partir da ramificação main.
• Auditoria: É mais fácil rastrear quem fez o quê, pois as identidades estão associadas à execução do fluxo de trabalho.

Para usar OIDC, você precisa configurar seu provedor de nuvem, por exemplo, AWS IAM, Azure AD ou GCP IAM, para confiar no emissor OIDC do GitHub.

Normalmente, isso envolve:

1. Configurar um Provedor de identidade (IdP) na sua conta de nuvem.
2. Definir uma Função/Política que conceda permissões específicas.
3. Adicionar uma "Política de confiança" à função, permitindo que os tokens OIDC do GitHub a assumam, geralmente com condições baseadas nas declarações do token, como aceitar tokens somente de um repositório específico.

O fluxo de trabalho então solicita um token e o usa para se autenticar.

Você aprendeu sobre os segredos do GitHub para armazenar dados sensíveis e sobre o OpenID Connect para autenticação na nuvem sem credenciais.

Quais das afirmações a seguir sobre o gerenciamento de segredos nas Ações do GitHub são TRUE?

Muito bem! Você aprendeu a gerenciar dados sensíveis com segurança nas suas esteiras de CI/CD.

• Os segredos do GitHub oferecem armazenamento criptografado para chaves de API e tokens no seu repositório, na sua organização ou em ambientes específicos.
• OpenID Connect (OIDC) oferece uma forma ainda mais segura de autenticação com provedores de nuvem, usando tokens verificáveis e de curta duração em vez de credenciais estáticas.

Essas práticas são fundamentais para criar esteiras de DevOps robustas e seguras.