Hemlighetshantering med GitHub

Du kan definiera hemligheter på olika nivåer: repository-, miljö- eller organisationsnivå. Vanligast är att börja med repository-hemligheter.

Så här skapar du en:

1. Gå till fliken Settings i ditt repository.
2. Gå till Secrets and variables > Actions.
3. Klicka på New repository secret.

Ge hemligheten ett unikt namn (t.ex. API_KEY) och klistra in dess hemliga värde.

När en hemlighet har definierats kan du använda den i YAML-filerna för arbetsflöden. GitHub Actions infogar automatiskt hemligheter som miljövariabler i dina jobb.

Du kommer åt dem med kontexten ${{ secrets.SECRET_NAME }}. Det här skriptet simulerar ett steg som skulle använda en sådan hemlighet. Föreställ dig att MY_API_KEY har angetts som en miljövariabel av GitHub Actions om du vill köra det.

Utöver repository-hemligheter erbjuder GitHub ytterligare två kraftfulla omfattningar:

• Organisationshemligheter: Tillgängliga för flera repositories inom en organisation. Användbara för hemligheter som delas mellan många projekt (t.ex. en organisationsgemensam distributionstoken).
• Miljöhemligheter: Kopplade till specifika distributionsmiljöer (t.ex. staging och production). De kan ha skyddsregler, till exempel krav på manuellt godkännande före distribution.

Använd alltid den minsta omfattning som behövs för maximal säkerhet.

OpenID Connect (OIDC) är ett autentiseringslager som bygger ovanpå OAuth 2.0. Det är en standard som gör det möjligt för klienter att verifiera en slutanvändares identitet baserat på autentiseringen som utförts av en auktoriseringsserver.

Inom CI/CD gör OIDC det möjligt för arbetsflöden att autentisera säkert mot molnleverantörer (som AWS, Azure och GCP) utan att behöva lagra långlivade autentiseringsuppgifter (som API-nycklar) som GitHub Secrets.

GitHub Actions kan fungera som en OIDC-leverantör. När ett arbetsflöde körs genererar GitHub en unik OIDC-token med kort livslängd för det specifika jobbet.

Denna token innehåller verifierbara claims om arbetsflödet, till exempel repository, gren och jobb-ID. Molnleverantörer kan sedan konfigureras att lita på token som utfärdats av GitHub och ge tillfällig åtkomst baserat på dessa claims.

Att använda OIDC med GitHub Actions ger betydande säkerhetsfördelar:

• Inga långlivade autentiseringsuppgifter: Du lagrar inte statiska moln-API-nycklar i GitHub Secrets.
• Minskad risk: Token med kort livslängd minimerar påverkan om en token skulle utsättas för intrång.
• Finkornig åtkomst: Molnroller kan kopplas till specifika villkor för arbetsflödet (t.ex. tillåt endast distribution från grenen main).
• Spårbarhet: Det blir enklare att spåra vem som gjorde vad, eftersom identiteterna är kopplade till körningen av arbetsflödet.

För att använda OIDC måste du konfigurera din molnleverantör (t.ex. AWS IAM, Azure AD eller GCP IAM) så att den litar på GitHubs OIDC-utfärdare.

Det innebär vanligtvis att du:

1. Konfigurerar en identitetsleverantör (IdP) i ditt molnkonto.
2. Definierar en roll eller policy som ger specifika behörigheter.
3. Lägger till en "Trust Policy" för rollen, så att GitHubs OIDC-token kan anta den, ofta med villkor baserade på tokenens claims (t.ex. att den endast kommer från ett specifikt repository).

Arbetsflödet begär sedan en token och använder den för autentisering.

Utmärkt! Du har lärt dig hur du hanterar känsliga data på ett säkert sätt i dina CI/CD-pipelines.

• GitHub Secrets tillhandahåller krypterad lagring av API-nycklar och token i ditt repository, din organisation eller specifika miljöer.
• OpenID Connect (OIDC) erbjuder ett ännu säkrare sätt att autentisera mot molnleverantörer genom att använda kortlivade, verifierbara token i stället för statiska autentiseringsuppgifter.

Dessa metoder är avgörande för att bygga robusta och säkra DevOps-pipelines.