Gizli Bilgileri ve Ortam Değişkenlerini Yönetme

İşlem hatlarının kayıt depolarına ve bulut hedeflerine erişmek için belirteçlere ve parolalara ihtiyacı vardır. Bunları koda sabitlemek, depo erişimi olan herkesin bilgileri ele geçirmesine yol açar; gizli bilgiler bunu önler.

Gizli bilgileri depo, kuruluş veya ortam ayarlarına eklersiniz. Bunlar saklanırken şifrelenir ve iş akışlarına yalnızca maskelenmiş değerler olarak sunulur.

Bir gizli bilgiye secrets bağlamı üzerinden başvurun, ardından bunu bir adıma ortam değişkeni veya eylem girdisi olarak aktarın. Burada bir dağıtım betiğine iletilmektedir.

GitHub, günlüklerdeki gizli bilgileri otomatik olarak *** şeklinde maskeler. Yine de bir gizli bilgiyi asla yazdırmayın veya kalıcı olarak saklamayın; base64 gibi dönüşümler maskeyi aşarak bilginin sızmasına neden olabilir.

Bölge veya derleme bayrağı gibi hassas olmayan yapılandırmalar için vars bağlamı aracılığıyla değişkenleri kullanın. Bunlar kullanıcı arayüzünde görünür; hiçbir şey gizli olmadığında bu sorun değildir.

Her çalıştırma, depoda kimlik doğrulaması yapmak için otomatik bir GITHUB_TOKEN alır. permissions anahtarıyla kapsamını sıkı biçimde sınırlayın; en az ayrıcalık ilkesini uygulayın.

Hazırlama veya üretim gibi bir ortam, gizli bilgileri gruplar ve dağıtım çalışmadan önce koruma kuralları (gerekli inceleyiciler, bekleme zamanlayıcıları ve dal sınırları) ekler.

Korumalı bir ortamla, belirlenmiş bir inceleyici onay verene kadar dağıtım işi duraklatılır; bu, üretimin önünde bilinçli bir insan denetimi sağlar.

Çatallardan gelen PR'lere gizli bilgiler hiçbir zaman iş akışlarıyla aktarılmaz; böylece güvenilmeyen bir katkıcı bunları çalamaz. CI'yi, çatallardan gelen PR'lerin gizli bilgi gerektirmeyeceği şekilde tasarlayın.

Her gizli bilginin yenilenebilir olduğunu varsayın. Bir bilgi sızdığında veya süresi dolduğunda ayarlardan güncellemeniz yeterlidir; sonraki çalıştırma yeni değeri alır ve kodda hiçbir değişiklik gerekmez.

Uygulama kılavuzu şöyledir: hassas değerler için gizli bilgiler, diğer her şey için değişkenler, kapsamı sıkı biçimde sınırlanmış bir GITHUB_TOKEN, üretimi koruyan ortamlar ve gizli bilgileri asla günlüğe kaydetmemek.

Artık gizli bilgileri ve değişkenleri güvenli biçimde yönetebilirsiniz: bunları şifrelenmiş olarak saklayın, secrets bağlamı üzerinden okuyun, belirtecin kapsamını sınırlayın ve dağıtımları ortamların arkasındaki onay geçitlerinden geçirin.